カテゴリー: I　C　T

モブキャストホールディングスは3/31、「当社子会社が運営するオンラインショップへの不正アクセスによる個人情報漏えいに関するお詫びとお知らせ」を公表しました。同社の子会社である株式会社ゆとりの空間において、不正アクセスにより情報漏えいの可能性があることが判明したとのこと。

株式会社ゆとりの空間

モブキャストホールディングスは、設立当初はモバイル向けの映像制作・配信事業とゲーム開発・配信事業を手掛けていたようですが、今ではスマホゲームと栗原はるみの雑貨販売、企画制作が軸に。栗原さんってあの料理研究家の栗原さんみたいです。

そして同社の子会社にゆとりの空間があります。栗原さんと、ご長男の二人が代表取締役ですね。調理用品やキッチン雑貨などの企画・製造・販売。レストランの経営もされてるみたい。

事故の概要

ゆとりの空間が運営しているウェブサイト、「ゆとりの空間オンラインショップ」において、システムの一部の脆弱性を突いた第三者による不正アクセスを受け、新規会員登録時に顧客が入力した個人情報（5,009件）が漏えいした可能性があるとしています。

2020年12月8日～2021年3月9日の期間中の新規会員登録顧客で、住所、氏名、電話番号、メールアドレスなど（他にもいろいろ）が漏洩した可能性が。通常、クレジットカード情報は大丈夫というケースが多いですが、この事故では「現在確認中」としています。

なんでだろう

ページ遷移の異常に関する顧客からの指摘が発見の端緒になりました。指摘を受けたのは1/27。調査を開始し、3/9、第三者機関からの報告により、新規会員登録ページの改ざんが判明したとしています。

調査の開始時期が書かれていませんが、ページの改ざんを把握するまでに1か月以上も？初期対応に失敗しているようですね。当分ほったらかしに？

加賀電子工業は3/19、「当社米国子会社における資金流出事案について」を公表しました。悪意ある第三者による虚偽の送金指示に基づき資金を流出させる事態が発生したとのこと。弁護士等による対策チームを編成し、既に現地の捜査機関に届け出ているようです。

ビジネスメール詐欺

事案の発生は今年2月。損失見込み額は最大で5億円といいます。捜査上の機密保持のため、現時点ではこれ以上の詳細情報は控えるとしています。このところあまり聞かなかったBEC（ビジネスメール詐欺）の被害にあった、と思われます。

BEC（Business E-mail Compromise）は、業務用メールを盗み見して経営幹部や取引先になりすまし、従業員をだまして偽口座に送金させ資金を詐取するというサイバー攻撃の一種です。2017年12月にJALが3億8,000万円の被害に遭いました。

ビジネスメール詐欺は、「経営幹部になりすます方法」と「取引先になりすます方法」の2つのタイプに分類されます。JALのケースは取引先になりすましていました。攻撃者が送信する（送金指示）メールの信憑性を高めるために、事前に業務用のメールを盗み見して準備します。

最終的には攻撃者が用意した口座に送金を指示しますので、取引先になりすましたうえで、それまで使用していた口座とは違う偽口座を指定してきます。ここが重要です。振込先口座の変更依頼があったときに、メール以外の方法でその変更依頼の信憑性を確認することですね。

加賀電子は

とまぁ、情報がない中でありそうな想定を書きましたが、同社の開示の中には「資金流出後まもなく、指示が虚偽であることに気付き、犯罪に巻き込まれた可能性が高いと判断し」とあります。ビジネスメール詐欺に違いないと思うのですが。。。

マイナビは2/12、同社が運営する総合転職情報サイト「マイナビ転職」を管理するWebサーバーに対し、外部からの不正ログイン発生があったことを公表しました。2000年から現在までに「マイナビ転職」へ登録した方のうち、212,816名分の Web履歴書が不正ログインされたもようです。

マイナビ

マイナビは毎日新聞社の関連会社として設立された、就職・転職・進学情報の提供や人材派遣・人材紹介などを主業務とする日本の大手人材・広告企業です。現在では毎日新聞との資本関係は薄くなっているようですね。

不正ログインの概要

不正ログインが確認された期間は、2021年1月17日～2月9日までとのこと。約3週間攻撃され続けていたんですね。普通アクセス数の急増でもう少し早く気付きそうなもんですが。

もう一つ普通じゃないのが、不正ログインされた件数を「212,816名分の Web履歴書」と言い切っているところ。普通なら「最大で212,816名分の Web履歴書」と発表するもんです。

同期間の間に21万件のアクセスがあったとしても、中には正規の利用者のアクセスまで含んでいるはずです。今回の不正アクセスは「リスト型アカウントハッキング（リスト型攻撃）」のようですから、正規の登録者によるアクセスと不正なアクセスは簡単には判別できません。

平時のアクセスが1週間あたり3万件程度あるなら、3週間で9万件。このくらいは21万件から差し引いて考える必要があります。なので最大〇〇件と表現するんですね。ひょっとしてこの21万件は差し引いたのちの実数なんでしょうか。

転職はキモかも

新卒者の履歴書と違って、転職者の履歴書は重いです。学生がA社以外にB社、C社にエントリーしていても大した問題じゃないけど、転職希望者の履歴書情報は本人にとっては閲覧されたくないでしょう。今所属している会社にそのことを知られたら、、、と心配している人も多いと思われます。抜かれたデータ、意外に悪用されるかもです。