国内企業への不正アクセスによる個人情報の漏えいが相次いでいる。10月8〜9日には、ローソンやココナラ、Sansan、LINEヤフーなどが相次いで被害を公表した。ローソンでは約215万件の顧客情報が漏えいしたほか、複数の企業が利用する外部サービスへの攻撃が、各社に波及する事態も起きている。ここにきて急増した要因は不明だが、高度化するAIを悪用しているとの見方もある。
※クリックすると拡大画像が見られます
ローソンは10月8日、会員向けサービス「ローソンID」と「ローソンアプリ予約」が不正アクセスを受け、個人情報が漏えいしたと発表した。ローソンIDでは215万5345件が対象となり、メールアドレスや氏名のほか、登録状況によっては住所や電話番号なども含まれる。
不正アクセスがあったのは9月12〜17日で、10月7日の調査で判明した。ローソンによると、アプリ上で利用者本人に情報を表示するための仕組みが攻撃を受けたという。現時点で不正利用や二次被害は確認されていない。
スキル販売サービスを運営するココナラも10月9日、「ココナラスキルマーケット」への不正アクセスにより、会員の個人情報が外部に漏えいしたと発表した。対象は履歴書449件と職務経歴書関連書類1845件。10月8日に不正アクセスを検知し、その後、情報が外部に持ち出された形跡を確認した。
同社は攻撃経路を遮断し、システムの脆弱性を修正したとしている。クレジットカード情報やパスワードは今回の漏えい対象に含まれていないという。
1社への攻撃が複数企業に波及
一方、複数の企業が同じ外部サービスへの不正アクセスの影響を受ける事例も発生している。
Sansanは10月9日、ユーザー向けコミュニティー「Sansan User Forum」の会員情報が漏えいしたと発表した。原因は、同サービスが利用するコミューンのクラウドサービス「Commune」への不正アクセスだ。1325人の情報漏えいを確認したほか、8687人についても一部情報が漏えいした可能性があるという。
同じ「Commune」を利用するLINEヤフー、LIXIL、スズキも10月9日に不正アクセスの影響を公表した。LINEヤフーでは事業者向けツールのコミュニティー機能、LIXILでは住宅関連のコミュニティー、スズキでは自動車オーナー向けのコミュニティーが対象となった。
これらは各社が個別に攻撃されたわけではなく、共通して利用する外部サービスへの攻撃が波及したものだ。企業が自社のシステムを保護していても、委託先やクラウドサービスを通じて顧客情報が流出するリスクが浮き彫りになった。
個人情報保護委員会も注意喚起
こうしたなか、個人情報保護委員会は10月7日、大規模な情報漏えい事案を踏まえた注意喚起を公表した。企業や団体に対し、個人情報の適切な管理と安全管理措置の徹底を促している。
セキュリティ企業のブロードバンドセキュリティも10月8日、国内で相次ぐ不正アクセスを受け、企業に基本的な対策の再点検を呼びかけた。同社は、AIの普及によって警戒すべきなのは新しい攻撃手法だけではなく、既存の脆弱性や設定不備を狙う攻撃の量と速度の変化だと指摘する。
利用者側にも注意が必要だ。漏えいしたメールアドレスや氏名などは、企業を装った偽メールやSMSに悪用されるおそれがある。ローソンとココナラも、今回の被害を受け、不審な連絡に注意するよう呼びかけている。