カテゴリー: I　C　T

Zホールディングス　ヤフーでID登録情報に関するシステム不具合が発生

8/6、Zホールディングスの開示した情報によると、ヤフーにおいてシステムの不具合が発生していたとのこと。同社の各種サービスで使用されるYahoo!JAPAN IDの登録情報を顧客が修正しようとした際、一部の顧客で自身のIDには反映せず、他者のID情報に反映された可能性があるとしています。

不具合の概要

不具合は7/29～8/4まで続いていたようです。ID登録情報の氏名、住所等のいずれかを編集しようとすると、修正内容が自身のID登録情報には反映されず、他者のID登録情報に誤って反映されるというもの。

他者はどうかというと、同じ時期に商品購入やID登録情報の閲覧などを行った顧客の一部で、自身のID登録情報に他のID登録情報が誤って上書きされているそうです。

となると、ID登録情報を編集しようとした顧客の情報は他者に閲覧された可能性がありますし、他者の注文した商品が届いたりもします。このパターンが最大52万件。

逆に、ID登録情報を上書きされた顧客の方は、住所等が変更されているので、注文した商品等が届かない可能性があります。このパターンが最大38万IDありうるとのこと。

こりゃ、かなりインパクトありそうですね。今のところ最大・・・としてるので件数は確定できませんが。幸い、ID登録情報にはメールアドレス、クレジットカード情報、金融機関の口座情報は含まれていないようです。

株価は

このシステム不具合の情報を受け、翌日のZホールディングスの株価は630円の15円安で取引を開始。その後は日経平均株価が弱含むなか切り返し、650円まで戻して取引を終えています。株式市場ではコロナで業績不振を心配しなくていい、数少ない銘柄ですしね。強いです。

ペイペイで100億円単位でキャンペーンやっちゃう同社ですので、影響の出た顧客に対する見舞金もかなり期待できる、、、などと考えるのは、、、不謹慎ですね。

住友重機械工業　今度はメール誤送信による個人情報の流出

この件、適時開示はされていません。ネットのニュースで見つけました。検査不正や従業員の使い込みなどで、不正・不祥事企業の定番になりつつある同社でしたが、今度は誤メールによる個人情報の流出です。インターンシップに応募した学生の情報443名分だそうです。

何とも考えにくいチョンボ

同社のお詫び文によると、7月15日（水）、同社の従業員が、メールアドレスの入力間違いにより1名の学生に、同社インターンシップに応募した学生443名の個人情報が記載されたファイルを添付して送信してしまいました。とのこと。

宛先は学生ですから、社外の宛先です。いまどき社外アドレスに送ろうとすると、アラート等で内容確認を促されるでしょうし、添付ファイル（エクセルファイル）まであるわけですから、ファイルの内容の再確認くらい求めてきますよね。それでもポチっとしてしまったと、、、。

発生後の対応は良好

7/15に発生し、記載はありませんがおそらく同日中に当該従業員が気付きます。送信先の学生に謝罪し、取り消しの依頼します。学生がファイルの中身を見ずに削除したことまでを確認しています。

そして7/17には同社ホームページで、「メール誤送信による個人情報の流出に関するお詫び」を掲載しています。72時間以内に必要な対応は完了させてますね。被害にあった443名の学生には、「直接、お詫びの連絡を差し上げております」としています。

流出した個人情報

氏名、性別、年齢、卒業予定年月、大学・学部・学科・専攻、研究室・指導教員名、研究テーマ、所属クラブ・サークル、インターンシップ応募部門、ご自身の長所、インターンシップを紹介した当社社員名、座談会コースへの応募状況。上記の他、当社としてのインターンシップ受け入れ可否の結果。。。これが流出情報。

一部のネット記事では、住所、電話番号も流出したかのような記載も見られますが、同社の開示では、住所、電話番号、メールアドレスについては含まれていないとしています。

公正取引委員会でもチョンボ

公正取引委員会が現在実施している、事業者に対するウェブアンケートにおいて、一部の事業者が回答した内容が他の事業者に閲覧可能な状態になっていた場合があることが判明したとのこと。先日の証券取引等監視委員会に次ぐ行政のチョンボですな。

ウェブアンケート

どういう事業者に対し、何を尋ねるアンケートだったんでしょう。そのあたりは言及していないのですが、専用の回答ページにおいて、7/20、11時45分頃から同日13時頃までの間、対象事業者がログインして回答の入力を行おうとすると、当該入力画面に他社が既に入力した内容が表示される場合があったそうです。

公取委のチョンボというよりは、ウェブアンケートのページ等を作りこんだ委託先事業者のチョンボといった方が良さそうですね。例えば、6/30付のお知らせでは「スタートアップの取引慣行に関する実態調査」の一環として、スタートアップを対象としたアンケート調査を実施、、、なんてのがあります。

この手のアンケート調査であれば、他の事業者の目に触れたとしても致命的な機密情報ではないかもしれませんが、事業者の回答に独占禁止法や下請法に抵触しかねない、通報的な情報などが含まれていたりすると厄介ですね。

意外に低姿勢

今回のこのお知らせの中では、「関係者の皆様に多大な御迷惑をおかけしましたことを深くお詫び申し上げます。」とか、「公正取引委員会は、売上高等の回答内容を他の対象事業者に閲覧された可能性のある対象事業者に対しては、個別にお詫びと説明をいたします。」

などと非常に低姿勢で謝罪しています。先日取り上げた証券取引等監視委員会の課徴金計算ミスに関するお知らせとは大違いです。「〇〇であるところ、誤って、××としたものである。」だけでお詫び等は一切なしですもんね。監視委員会のこの上から目線はどうもいただけません。

みずほ総研　顧客情報最大250万件紛失

みずほフィナンシャルグループは7/21、子会社のみずほ総合研究所が保有する顧客情報を最大で250万件紛失したと発表しました。情報を保管していた記憶媒体を誤って廃棄した可能性が高く、現時点では第三者に情報が流出した疑いはないといいます。デカいねこれ。

Linear Tape-Open

みずほ総研の公表した情報によると、紛失したのは　Linear Tape-Open（リニア テープ オープン、略称：LTO）とのこと。LTOは主にバックアップやアーカイブ用途としてコンピューターシステムで利用されていて、2017年に発売された最新世代のLTO-8は12TBの容量があるそうです。

カートリッジの大きさは10センチ×10センチ、厚さ2センチって感じです。これが何本紛失したんでしょうかね。そのあたりの情報は開示されていません。以前、廃棄するはずのハードディスクがオークション等で販売されていた事件がありました。廃棄の仕方も話題になりましたね。

LTOもハードディスク同様、廃棄する際は同社管理責任者が立会いのもと、廃棄業者による強磁界による磁気データ破壊や、擬似データの書き込みを行うデータ上書きなどの作業を行うはず。誤って廃棄など普通はありえません。

個人情報漏洩に関する規制強化

個人情報が漏洩した場合の企業の対応について、規制強化が求められることになったばかり。改正法の施行はまだですが、少々開示情報が不足してる感じがしますね。

7/16、株式会社城南進学研究社が、34,263件の個人情報が流出した可能性がある旨公表していました。同社のホームページへの不正アクセスによるものですが、個人情報保護委員会への報告や警察、所管官庁への報告など、時系列での対応状況まで非常に丁寧な情報開示がされていました。

みずほ総研は基本的にみずほ銀行との連携で法人や個人の情報を扱っていると思われます。情報漏洩（紛失）に対する情報開示、この時代、もう少ししっかりした対応が必要なのでは？

サイバーセキュリティ　日本企業も本気になるか

7/16、7/20の両日、日本経済新聞の一面トップ記事を飾ったのは、なんとサイバー攻撃関係の記事でした。「サイバー被害　通知義務化」と「サイバー攻撃　コロナ下の脅威」というタイトル。前者は個人情報保護法の改正を受けた記事で、後者は企業機密を取り上げています。

サイバー被害　通知義務化

サイバー攻撃で個人情報が漏えいした企業に対し、被害が発生した全員への通知が義務付けられます。個人情報保護委員会への報告も。違反に対しては50万円だった罰金も大きく引き上げ最高1億円へ。個人情報保護法と規則の改正で欧米水準に一歩近付きます。

企業としては今まで以上に厳密な対応を求められるため、情報漏洩に対する投資を真剣に考える必要があります。情報漏洩リスクに対する対策の多くはサイバーセキュリティ対策でもあります。少しでも日本企業の意識が向上してくれれば良いのですが。

サイバー攻撃　コロナ下の脅威

こちらはサイバー攻撃によって企業の機密情報が盗まれる事件が増加していることを受けての記事ですね。ランサムウエアで手に入れた企業の機密情報がネットの闇市場で売買されているという話です。こうした闇市場で少しづつ売ってみせ、企業が身代金を払うまで追い詰めると。

企業の機密情報については今既に大変なことが起こっている可能性があります。新型コロナへの対応として多くの企業が取り入れたテレワーク。記事でも専門家が「テレワークを拙速に導入したことでシステムに欠陥を抱える日本企業の情報が、ハッカーの間で大量に流通している」と指摘していました。

「セキュリティ上の問題はあるものの、まずはテレワーク環境を確立して3密回避、出社率を下げるべき。。。」こんな掛け声、御社でもありませんでしたか。テレワークの普及は、攻撃者にとって、侵入口が爆発的に増加することを意味します。もうすでに相当抜かれちゃってるんだろうなぁ。