日本コロムビア マルウェア感染、870万件の記録が危険にさらされる

委託先のコンピューターがマルウェアに感染し、顧客と従業員の約870万件の記録が漏えいした可能性があります。第三者が取り扱う個人情報を企業がどう守るのかが、改めて問われています。

日本のエンターテインメント企業である第一興商は10月8日、個人情報の取り扱いを委託していた日本コロムビアグループ（NCG）の従業員のコンピューターがマルウェアに感染し、約872万件の記録が影響を受けた可能性があると公表しました。情報が盗まれたり、外部に漏えいしたり、悪用されたりした事実は確認されていません。

対象となったのは、BIG ECHOをはじめとする第一興商のカラオケ事業や飲食事業に関連する情報です。今回の事案は、外部の委託先に頼る組織全体にとっての課題も浮き彫りにしています。委託先の端末が1台侵害されただけで、どれほど多くの機密性の高い顧客情報が危険にさらされるのかという問題です。

日本コロムビアのマルウェア感染の経緯

第一興商の公式発表によると、日本コロムビアグループは10月1日から2日にかけて、従業員のコンピューターでマルウェアを発見しました。このコンピューターには、同グループが第一興商向けのサービスを提供する過程で取り扱っていた個人情報が、一時的に保存されていました。

日本コロムビアグループは10月2日、このコンピューターをネットワークから隔離しました。影響の可能性を調査したうえで、10月5日に第一興商へ報告しています。第一興商は10月8日に、この事案を公表しました。

第一興商は、店舗での会員登録や予約に関連する顧客の記録を約863万1,000件、従業員の記録を9万3,000件確認しました。影響を受けた可能性のある記録は、合計で約872万4,000件です。

顧客の件数は、同社の各事業にまたがる約51万5,000件の重複を調整した数字です。これらはいずれも、事案の影響を受けた可能性のある記録のおおよその件数であり、重複を除いた個人の人数が確定したわけではありません。個人情報にアクセスや窃取があったかどうかも、調査では特定されていません。

影響を受けた可能性のある顧客情報は次のとおりです。

• 登録名を含む氏名
• 性別と生年月日
• メールアドレスと電話番号

これらの記録は、BIG ECHO、MEGA BIG、カラオケCLUB DAM、バナナクラブ、B-GARAGE、DK Diningなど、第一興商の複数の事業に関係しています。

第一興商によると、影響を受けた可能性のある情報にパスワードは含まれていません。ポイントの不正利用の形跡も確認されていないということです。

重要なのは、この事案に関連する外部へのデータ漏えいや悪用が確認されていない点です。第一興商は自社システムへの影響は見つかっていないとしていますが、念のため確認を続けています。

BleepingComputerの報道によれば、日本コロムビアグループは対応の一環として、パスワードなどの認証情報をリセットしました。

マルウェアの種類や最初の感染経路、攻撃者が情報にアクセスしたり持ち出したりしたかどうかは、公表されていません。

顧客とセキュリティ担当者にとっての意味

データの窃取が確認されていなくても、影響を受けた可能性のある個人情報の量を考えれば、この事案は重大です。

氏名、生年月日、メールアドレス、電話番号があれば、犯罪者は説得力のあるフィッシングメッセージを作成したり、正規の事業者になりすましたりできます。顧客が過去に利用したサービスを装う標的型の詐欺では、特に悪用されやすい情報です。

対象となるカラオケ・飲食ブランドの顧客は、第一興商やその事業を名乗る不審なメール、SMS、電話に注意が必要です。

不審なリンクは開かず、依頼内容は公式の窓口で確認してください。追加の個人情報や支払い情報を求めるメッセージにも警戒が必要です。

セキュリティ担当者にとって、この事案は、外部のサービス事業者に渡した顧客情報をどう守るかという課題の重要性を示しています。

委託先は数百万件の記録を処理する正当な権限を持っているかもしれません。しかし、そのアクセスには、情報の保存や取り扱いに使う端末にまで及ぶセキュリティ上の責任が伴います。

eSecurity Planetが取り上げた他の事案も、顧客データの流出や第三者のセキュリティ上の弱点がもたらす影響を示しています。

たとえば、 ASOSのアカウント乗っ取り事案では13万8,828人の顧客が影響を受けました。 IDScanの情報漏えいとその後の訴訟では、機密性の高い個人情報の取り扱いが問われました。

また、 BigCommerceのサードパーティ製アプリの侵害は、外部サービス事業者の認証情報が侵害されると、基盤となるプラットフォーム自体が直接侵害されなくても、顧客情報が危険にさらされることを示しました。

これらの事案は原因も確認された被害も異なりますが、第三者が機密情報にどうアクセスし、保存し、保護しているかを精査する必要性を裏づけています。

外部のデータ処理事業者と連携するセキュリティ担当者は、次の点を見直すべきです。

• データの保存: 委託先が大量の個人情報を、たとえ一時的であっても従業員のコンピューターに保持する必要があるかを見極める。
• エンドポイント保護: 機密情報を扱う委託先の端末に、適切なマルウェア検知、監視、対応の機能があることを確認する。
• アクセス制御: 第三者のアクセスを、特定の業務に必要な情報に限定する。
• インシデント対応: 侵害の疑いを委託先がただちに報告するよう、通知の要件を明確に定める。

機密情報は、個々の作業用端末にローカル保存するのではなく、より管理されたシステムで処理できないかも検討すべきです。

第一興商は専用のお問い合わせ窓口を設置し、引き続き事案を調査しているとしています。公表時点では、影響を受けた可能性のある情報が盗まれたり悪用されたりしたことは確認されていません。

セキュリティ責任者にとっての教訓は、今回のマルウェア感染だけにとどまりません。第三者のセキュリティは、誰が顧客情報にアクセスできるかだけでなく、その情報がどこに保存され、どれだけの期間保持され、委託先の端末が侵害されたときに組織がどれだけ迅速に対応できるかにも左右されます。

関連するサイバーセキュリティニュース: サードパーティのセキュリティリスクを示すもう一つの事例として、 ManoManoの取引先の情報漏えいで約3,800万人の顧客の個人データが流出した件もご覧ください。