プリペイド式のキャッシュレスサービス「IDARE」を運営するFivotは10月13日、第三者からの不正アクセスにより、IDAREに登録したユーザーの個人情報が外部に漏えいしたと発表した。対象は、退会済みのユーザーを含む、9月27日までに登録していた12万9659人。電話番号やメールアドレスなどの登録情報に加え、残高や取引履歴も漏えいした。
事案の詳細
漏えいの原因は、第三者による不正アクセスとされている。対象者全員について、電話番号、メールアドレス、生年月日、ユーザーID、表示名などの登録情報、アカウントの設定情報、残高情報、取引履歴、IDAREカードの名義・有効期限が漏えいした。
一部のユーザーでは、氏名、住所、本人確認書類の番号などの申請内容、IDAREカード番号の下4桁、入金用に登録したクレジットカード番号の先頭6桁と下4桁、銀行口座番号の下3桁も漏えいした。
一方、ログインパスワード、本人確認書類の画像、カード番号の全桁、セキュリティコード、暗証番号は、対象システムから参照できない仕組みで管理されているか、Fivotが保持していないため、漏えいしていないとしている。10月13日時点で、漏えい情報を悪用した不正な取引は確認されていない。ログインには多要素認証が必須で、漏えいした情報だけでは不正ログインできないという。
影響と背景
今回の漏えいでは、氏名や連絡先などの基本情報だけでなく、残高や取引履歴、カード・銀行口座に関する情報も対象となった。取引履歴はサービスの利用状況を示し得るため、金銭そのものの不正利用が確認されていない場合でも、利用者のプライバシーに関わる情報が外部に漏れたことになる。
漏えいした情報の悪用による不正取引は10月13日時点で確認されておらず、IDAREは通常通り利用できるとしている。個々の利用者について漏えいした情報の範囲は異なり、対象者にはメールで個別に案内する。
対策・今後の展望
利用者は、Fivotから届く案内を確認し、自身の情報が漏えい対象となった範囲や必要な手続きを確認する必要がある。あわせて、IDAREの利用履歴や登録情報を点検し、身に覚えのない取引や不審な連絡がないか注意したい。
ログインパスワードやカード番号の全桁などは漏えいしていないとされるが、不審なメールやSMSに記載されたリンクを開いたり、認証情報を入力したりしないことも重要だ。Fivotは対象者に漏えい情報の範囲を個別に通知するとしている。
CSRIからの現場アドバイス
【現場で何が起きているか】今回の公表内容では、第三者による不正アクセスが原因とされているが、侵入経路や攻撃手法、攻撃者、情報が外部へ持ち出された期間などの詳細は現時点で不明だ。企業側では、顧客情報を扱うシステムのアクセス権限を最小限にし、多要素認証、アクセスログの監視、異常なデータ取得の検知を継続する必要がある。
【平易な解説】例えるなら、金庫の中身に当たる残高だけでなく、出し入れした記録である取引履歴や、利用者に関する登録情報まで外部から見られた状態だ。今回、パスワードやカード番号の全桁などは漏えいしていないとされているが、漏えい情報を組み合わせたなりすましやフィッシングには警戒が必要になる。
【中小企業が今週中にできること】まず、顧客情報や決済関連データを扱う担当者と保管場所を洗い出し、不要な閲覧権限を外す。次に、管理画面へのログイン履歴やデータ出力の履歴を確認し、通常と異なる操作がないか点検する。さらに、多要素認証を有効にし、取引先サービスからのセキュリティ通知を受け取る窓口を一本化して、重要な連絡を見落とさない体制を整える。