security
サードパーティ経由のセキュリティ問題に英国の購入者も巻き込まれる。データが流出したのかどうかは不明
トイレットペーパーを販売する Who Gives A Crap が、サードパーティのソフトウェアプロバイダーを通じて侵入者に顧客情報へアクセスされ、対応に追われています。影響は英国、米国、オーストラリアの購入者に及んでいます。
The Register が確認した、週末に影響を受けた顧客へ送られたメールによると、同社は、米国を拠点とする社名非公表のマーケティングソフトウェアプロバイダーでセキュリティインシデントが発生し、個人情報に不正にアクセスされたと警告しています。
メールの説明では、侵入者がこのサプライヤーのシステムに入り込んだのは10月30日です。プロバイダーは翌日に侵入を検知し、11月1日までにシステムを保護したとしています。ところが、Who Gives A Crap に連絡があったのは11月6日でした。サプライヤーがなぜ、さらに5日間も悪い知らせを伝えずにいたのかは分かっていません。
流出した情報は、顧客の氏名、メールアドレス、電話番号、郵送先住所、同社での総購入額です。つまり、顧客がどこに住んでいるかだけでなく、苦労して稼いだお金をトイレ関連にどれだけ流してきたかまで、誰かに知られた可能性があります。
決済情報、注文の詳細、パスワードは対象外で、顧客のアカウントに直接アクセスされた形跡もありません。その点では一安心ですが、侵入者が実際にデータを持ち出したのかどうかという重大な疑問は残っています。
同社は顧客に対し、「情報がコピーまたはダウンロードされたかどうかは、現時点では分かっていません」と伝えました。一方で、悪用の形跡は確認されていないとも述べています。
共同創業者兼CEOのSimon Griffiths氏は、別途公表した声明で、今回のインシデントがオーストラリア、英国、米国の各ストアの顧客に影響したことを認めました。カナダの顧客は今回のトイレ騒動を免れたようで、サプライヤーはカナダの購入者の個人情報にはアクセスされていないと報告しています。
Who Gives A Crap は、すでにこのプロバイダーをシステムから切り離し、アクセス認証情報を変更したと説明しています。影響を受けた顧客には、不審なメール、SMS、電話などの一方的な連絡に注意するよう呼びかけを始めました。
同社は顧客向けメールで、「最も懸念されるのは、皆さまの実際の個人情報を使って本物らしく見せかける詐欺やフィッシングのメッセージです」と警告しています。
Who Gives A Crap が事態の収拾に追われる一方で、今回の騒動の中心にいるサプライヤーの正体は謎のままです。同社はソフトウェアプロバイダーの名前も、英国を含めて何人の顧客が影響を受けたのかも明らかにしていません。当サイトの問い合わせにも回答はありませんでした。
Griffiths氏は、同社が「必要に応じて、関係する規制当局と協議している」と述べました。英国では、情報コミッショナーオフィス（ICO）が The Register に対し、「Who Gives A Crap Limited からインシデントの報告を受けており、提供された情報を精査しています」とコメントしました。
Who Gives A Crap の手元にトイレットペーパーは十分にあるはずですが、この一件の後始末には、数ロールでは足りないかもしれません。®
