ユミルリンク、不正アクセスで情報漏えい最大約5163万件 対象50システムに拡大

138DATA

AI生成記事についてこの記事は公開情報をもとにAIが自動生成しています。事実確認を行ったうえで公開していますが、正確性を保証するものではありません。最終的な判断は記事末尾の出典元をご確認ください。

ユミルリンクが不正アクセスの第二報を発表

企業が顧客のメールアドレスや連絡先を預かる立場にあるとき、その管理下で何が起きているかを把握しておくことは、自社のリスク管理を考えるうえでも避けて通れません。ユミルリンク株式会社は10月26日、同社システムへの不正アクセスについて第二報を発表しました。調査の結果、不正アクセスが確認されたシステムと漏えい件数が、第一報から大幅に増加しています。

同社では10月16日未明に、担当者が一部システムへの不正アクセスを確認しました。19日発表の第一報では5システムで不正アクセスとデータ出力が確認され、メールアドレスを含む情報がのべ約900万件出力されたと試算していました。それが今回の第二報で、対象範囲が大きく広がった形です。

脆弱性を突かれ認証情報を取得

その後の調査で、プログラムの脆弱性を突いて同社のサポート・品質管理担当者の認証情報が取得され、不正プログラムを設置してデータベースからデータを出力していることが確認されました。この認証情報を用いて、他のシステムへの認証を試みていることも確認されています。

ここで押さえておきたいのは、被害が一度の侵入で完結していない点です。取得された認証情報が次の侵入の足がかりとなり、被害が連鎖的に広がったと考えられます。不正プログラムとシステムログの解析の結果、第一報以降に新たに45システムで、不正プログラムを介した他システムのデータ参照や、セッション情報を取得した不正ログインが行われていることが確認されました。第二報で発表された対象は2サービス、50システムにのぼります。

漏えい件数と対象システム

メール配信サービス「Cuenote FC」では49システムで情報漏えいが発生し、のべ5162万8280件のメールアドレスを含む情報が漏えいしました。不正アクセス試行が確認されたシステムは全部で81あり、複数企業で利用するシステムが3、単一企業が利用するシステムが78でした。不正アクセスが確認された49システムは全て単一企業が利用するシステムで、うち16システムは漏えい件数を調査中としています。調査中の分が確定すれば、件数はさらに増える可能性があります。

顧客管理等を行うCuenoteシリーズのポータル「Cuenote BASE」では1システムで契約者情報が閲覧可能な状態となり、190件の企業名、氏名、電話番号、メールアドレスが漏えいしました。対象利用者には同社から直接連絡を行っており、漏えい情報の不正利用は確認されていないとしています。

一方で、同社ドメインを利用し第三者をかたった迷惑メールが複数確認されています。セゾンカードをかたり「ご利用確認のお願い」「利用内容確認のご依頼」といった件名で送られているとして、注意を呼び掛けています。情報漏えいそのものだけでなく、漏えいした情報や社名を悪用した二次的な接触が起きている点は、関係者にとって見逃せないポイントです。

今回の公表で判明していること

今回の公表では、脆弱性を起点に認証情報が取得され、そこから複数システムへと被害が広がった経緯が示されています。単一の入口から複数のシステムへ波及しうるという点は、外部にデータを預ける側にとっても、委託先の管理体制を確認する重要性を改めて示す内容です。

また、漏えい件数は16システム分が調査中であり、今後さらに増加する可能性がある点も明らかにされています。あわせて、同社ドメインを悪用した迷惑メールの発生も確認されており、情報漏えいの影響が直接的な被害にとどまらない事例として公表されています。続報の有無と、自社に関係する連絡が来ていないかを確認しておくことが、現時点でできる実務的な対応といえます。

出典: Google News データ漏洩 - ユミルリンク、不正アクセスで情報漏えい件数を最大約5163万件と発表。対象が50システムに拡大 - INTERNE...