デジタル証券などのソリューションを提供するSecuritize Japan株式会社への不正アクセスにより、個人情報の一部が漏えいしたとして、同社に委託している株式会社NTTデータやソニー銀行、丸井グループ、LIFULLなど複数社が情報を公表した。
事案の詳細
株式会社NTTデータの発表によると、不正アクセスは10月29日に発生した。システムの認証機能の脆弱性が悪用され、管理者権限が不正に取得された後、システム内の情報が持ち出されたことが確認されたという。
Securitize Japanはサービスを停止し、不正アクセス経路の遮断や、不正に取得された管理者権限の無効化などを実施した。記事公開時点で、Securitize Japanの公式サイトでは本件に関する発表を確認できない。
被害の公表は委託元各社が個別に行っており、サービスや用途ごとに漏えいした情報の種類・人数が示されている。
影響と背景
NTTデータは、社債購入者に対する特典付与を支援するサービス「STdirectServices」において、社債購入者などの一部個人情報が漏えいしたと発表した。11月2日時点で漏えいが確認された情報として、発行体2社分の社債購入者の一部個人情報計111人分の氏名、住所、電話番号、メールアドレス、性別、生年月日、発行体1社分の社債購入者の一部個人情報2678人分のカナ氏名、社債購入数量、メールアドレスを挙げた。また、社債発行に関係する企業のシステム利用担当者について、氏名とメールアドレスが対象となっている。対象人数は調査中としている。111人分は、「STdirectServices」の提供開始前にNTTデータが個別に提供していたサービスに関する情報だという。
ソニー銀行株式会社は、デジタル証券に関連する4人分の氏名、住所、生年月日、口座番号と、617人分の氏名が漏えいしたと発表した。株式会社丸井グループは、デジタル社債への申し込みのためアカウントを作成した最大9086人分の個人情報が漏えいしたと発表した。対象項目は氏名、住所、電話番号、メールアドレス、生年月日、性別、銀行口座番号、投資口数で、うち54人分は銀行口座番号まで漏えいした可能性があるとしている。
不動産クラウドファンディング分野でも公表が続いた。株式会社LIFULLは、株式会社LIFULL Investmentが運営する「LIFULL不動産クラウドファンディング」の顧客238人分の情報が漏えいしたと発表した。内訳は、203人分が氏名と投資口数、22人分が氏名と銀行口座情報など、8人分が氏名とメールアドレス、5人分が氏名、生年月日、住所、電話番号、メールアドレスとなっている。株式会社リムズキャピタルは、不動産クラウドファンディングサービス「BATSUNAGU」の顧客について、住所、氏名、電話番号、メールアドレスの流出が判明したと発表した。対象人数は公表していない。スターツ証券株式会社、スターツ信託株式会社、スターツアセットマネジメント株式会社は、「スターツ・アセット・トークン～両国・千鳥町～（譲渡制限付）」の顧客について、氏名と保有口数の漏えい懸念を公表した。対象人数は公表していない。
株式会社パン・パシフィック・インターナショナルホールディングス（PPIH）は、デジタル社債の申し込み・登録情報などを管理する委託先システムへの不正アクセスと、同システムの停止を発表した。顧客情報が漏えいした可能性の有無や対象者、情報の内容は調査中としている。
対策・今後の展望
- サービス停止と権限の無効化：Securitize Japanはサービスを停止し、不正アクセス経路の遮断や、不正に取得された管理者権限の無効化などを実施した。
- 委託元による影響開示：NTTデータ、ソニー銀行、丸井グループ、LIFULL、リムズキャピタル、スターツ各社、PPIHなどが、漏えいした情報の範囲や対象人数、調査状況をそれぞれ公表した。
- 調査中の範囲が残る：NTTデータのシステム利用担当者情報や、PPIHの顧客情報については、対象範囲の確定に至っていない。
CSRIからのアドバイス
認証機能の脆弱性が悪用される事案では、攻撃者が管理者権限を得ることで、通常は見えない情報や設定にアクセスできる状態になりやすい。結果として、単一システムの侵害が、委託先・委託元をまたいだ広い範囲の情報持ち出しにつながり得る点に注意が必要だ。
例えるなら、建物の入館証の仕組みに穴があり、来訪者が管理室の合鍵まで手にしてしまうようなものだ。本人確認の仕組みが破られると、正規の利用者になりすましてシステム内の情報をまとめて持ち出される危険が高まる。
中小企業は、まず委託先サービスで扱っている個人情報の項目を棚卸しし、管理者権限の利用者と用途を社内で確認する。次に、委託先に対し、認証機能の脆弱性への対応状況や、権限無効化・経路遮断などの実施有無を担当窓口へ照会し、社内で共有しておきたい。
参照: デジタル証券などを提供するSecuritize Japanに不正アクセス、NTTデータなど委託元各社が情報を公開