カテゴリー: I　C　T

村田製作所は8/5、会計システムの更新プロジェクトに携わっていた中国の再委託先の社員が、取引先情報など約7万件を不正に取得していたと発表しました。その取引先情報は外部クラウドサービスの個人アカウントに送信されていたということです。

村田製作所

村田製作所は積層セラミックコンデンサや、SAW（弾性表面波）のRF（無線周波数）コンポーネントなど、高付加価値製品で圧倒的な強みを持つコンデンサ世界トップの電子部品大手企業です。最終消費者が手にする商品を作っているわけではないので、知名度は高くないかもしれませんが、まぎれもなく日本の超一流企業です。

情報の不正取得（結果的に漏洩）

村田製作所では全社で進めている業務効率化の一環で、会計システムの更新を日本IBMに委託していました。その日本IBMは会計システムの更新（開発）の実務を中国法人に再委託していたようです。

その再委託先の中国法人（IBM Dalian Global Delivery Co., Ltd.）の社員が、同社取引先情報および個人情報を含むプロジェクト管理データを、業務用パソコンへ許可なくダウンロードし、中国国内の外部クラウドサービスの個人アカウントへアップロードしていたということです。

システム開発の実態として、開発を委託した企業は再委託先へ実務を委託。再委託先はさらに再々委託先へ開発業務等を分担させる。こうしたことが日常的に、かつ当たり前に行われています。そのためこの業界ではこういう事件が頻発します。

正直なところ再委託先以降の業者のコントロールって、村田には非常に困難だと思います。村田製作所が主語になっているこの事件ですが、実のところは日本IBMによる委託先管理の問題なんですね。なお、持ち出された情報が第三者によりコピー・ダウンロードされた事実はなかったということのようです。

スマートフォン向けゲームを展開するKLab株式会社は7/28、同社がユーザー向けに提供している「KLab ID」2,439件に対して、パスワードリスト型攻撃と見られる不正ログイン行為が確認されたことを公表しました。今のところ適時開示はされていません。

KLab

KLabはスマートフォン向けアプリを中心にモバイルオンラインゲームの企画・開発・運営を行う東証1部上場企業です。海外展開にも注力しており、近年のヒット作には「ラブライブ！スクールアイドルフェスティバル」などがあるとのこと。あっ、この社名、「クラブ」と読みます。

52万件の不正メール送信

不正アクセスには外部から入手したと思われる約52万件もの個人データが利用されています。この「外部」というのは、おそらく他社で登録されている顧客のデータだと思われます。犯人はこのデータを「KLab　ID」に新規会員登録したようです。

「KLab　ID」では新規会員登録時に利用者がメールアドレスを登録する必要があり、そのメールアドレスに対して確認メールを自動で送信する仕様となっているため、約52万件に確認メールが送信されたようですね。つまり、他社の顧客宛に「KLab　ID」登録ありがとうございますメール、が飛んだということみたい。

2,439件の不正ログイン

その後、同社サービスに登録済と見られるユーザーのアカウントに対して、同52万件のデータを使い、パスワードリスト攻撃を行っています。この不正ログインにより閲覧された可能性のあるデータは、顧客のメールアドレス、ひみつの質問と回答、生年月日、性別、言語などです。

「ひみつの質問と回答」が流出しているのは気になりますね。不正ログインの発生に加え、他社顧客に迷惑メールが52万件も送られているのに、事態の公表は同社ホームページだけ。この開示に対する姿勢には非常に疑問が残ります。