企業で相次いで公表されている不正アクセス。顧客情報や会員情報を管理するシステムへの侵入に加え、一部ではWebサービスの停止などにも影響が及んでいる（画像はイメージ）
今回のニュースのポイント
9月末から10月初めにかけて、外食、物流、小売、金融、保険などの幅広い業界で、不正アクセスによる個人情報流出やWebサービスの一部停止に関する発表が相次いでいます。「焼肉きんぐ」を展開する物語コーポレーションで約1078万件の会員情報漏えいが確認されたほか、物流大手やコンビニ、金融機関等でも影響が公表されています。本稿では、これらを単純に「サイバー攻撃が急増している」と一括りにせず、公表された一次情報に基づき、対象となったシステムの違いや影響の現れ方の多角的な側面を整理します。
本文
9月末から10月初めにかけて、多様な業界の企業から不正アクセスや情報流出、Webサービスの一部停止に関する発表が相次いでいます。攻撃の発生時期、検知日、ならびに調査による確認日には時間差が存在するため、公表が集中している事実をもって「サイバー攻撃自体が急増している」と断定することはできません。一方で、確認された被害の様相は、対象となったシステムや扱うデータの性質によって異なる形を見せています。
■ 焼肉きんぐで確認された「1000万件超」の規模と範囲
外食大手の物語コーポレーションは10月3日、「焼肉きんぐ」公式アプリの会員管理システムに対する第三者からの不正アクセスを受け、登録数約1,080万件のうち1,078万8,963件で会員情報が流出したと発表しました。
流出情報には会員番号、アプリ登録名、メールアドレス、電話番号が含まれます。一方で同社は、ログインパスワード、生年月日、性別、郵便番号、保有ポイントを含む店舗利用履歴の流出はなく、クレジットカード等の決済情報も自社で保持していないと明記しています。漏えい件数が1000万件を超える一方、漏えいが確認された情報と、漏えいしていない情報の範囲は分かれています。
■ 物流業界では「情報流出の可能性」と「Web機能の一時停止」
物流分野では、情報流出の可能性への対応とともに、二次被害防止を目的としたWebサービスの一時停止が行われています。
ヤマト運輸は9月29日、9月28日に「クロネコ代金後払いサービス」が不正アクセスを受けたことを確認し、同日22時28分に同サービスを停止したと発表しました。その後の調査で、一部顧客の氏名、住所、電話番号、メールアドレス、与信番号、請求金額、商品明細などが流出した可能性を提示しています（※クレジットカード情報やパスワードは含まれていません）。
佐川急便も9月30日に「お荷物問い合わせサービス」への不正アクセスを確認し、10月1日には顧客の個人情報が流出した可能性を公表しました。同社は被害拡大を防ぐため、荷物問い合わせやWeb受付などの一部オンラインサービスを停止しています。なお、両社ともに宅急便や荷物の集荷・配達といった物理的な物流機能そのものは継続しています。
■ セイコーマートでは57万人超、アプリ機能の一部を制限
小売分野では、セイコーマートが9月30日、「セイコーマートアプリ」のサーバーへの不正アクセスにより、アプリ会員の49％に相当する57万2,022人分の情報が閲覧されたことを発表しました。
同社はアプリでの新規入会や登録カード変更、マイページでの会員情報変更・退会、公式通販サイトのサービスを一時停止しています。一方で、ぺコママネーの利用・チャージ、ポイント付与、会員価格での購入、クーポンやキャンペーンは利用可能で、新規入会や会員情報変更は店頭で受け付けています。一連の事案において、サービスの全面停止ではなく一部オンライン機能に制限が留まる事例も確認されます。
■ 外部委託先や社内人事システムにも広がる影響
攻撃対象となるシステムは、顧客向けWebサイトや会員アプリにとどまりません。
大和証券は10月5日、顧客からの問い合わせ管理に利用している外部委託先（スカラコミュニケーションズ）のサーバーが不正アクセスを受け、約11万人の氏名、メールアドレス、口座番号等が漏洩した可能性があると発表しました。個人を特定できる情報のない問い合わせ等を含めると、対象は約22万件となります。自社システムの外側にあるサプライチェーンも管理範囲となることを示す事例です。
また保険業界では、第一生命グループおよび第一生命保険が10月2日、従業員向け人事システムへの不正アクセスにより、現役従業員および退職者約12万名（第一生命等）の氏名、住所、電話番号、所属、職位等の情報が外部へ流出した可能性があると公表しました。顧客情報へのアクセスは確認されておらず、侵害されるシステムは社外向け窓口のみならず、社内業務基盤にも及んでいます。
■ 原因調査中の「システム障害」が社会活動へ与える波及
企業における不正アクセス事案とは別に、原因調査中でありながらシステム停止が組織活動に与える影響という観点で、教育・研究機関の動向も注視されています。
大阪公立大学は10月2日、情報基盤システムの大規模障害を受け、8日までの講義を休講とすることを発表しました。5日時点で主要システムへの接続不能が続いており、学外サーバーで稼働する出願サイト自体は登録可能であるものの、募集要項の閲覧や一部出願書類の入手が行えないなど、入試関連業務にも影響が及んでいます。現時点で同大学の障害原因は調査中であり、確認された事実に基づいた継続的な確認が必要です。
■ システムの位置付けと影響範囲を見極める視点
今回公表された事案では、攻撃対象や漏えいした情報、停止した機能はそれぞれ異なります。不正アクセス事案を見る際には、発生・検知・公表の時点とともに、侵害されたシステム、対象となった情報、実際に停止したサービスを分けて確認する必要があります。
企業のデジタル化に伴い情報資産が多様なシステムに分散する中、単一の事象として一括りにするのではなく、個別のシステム運用実態と発生した事実を正確に整理していくことが求められます。（編集担当：エコノミックニュース編集部／Editorial Desk: Economic News Japan）
