三井不動産に不正アクセス。ログイン情報を悪用され、役職員と社外関係者の連絡先が最大5万5千件閲覧された可能性

01発表されている事実

1. 8月28日

   一部のシステムへの不正アクセスを確認。資格情報の無効化など被害拡大防止の措置

2. 9月1日

   公表。個人情報保護委員会と関係官庁に報告

3. 9月7日〜17日

   対象者にメールでお詫びとお知らせを送付

4. 9月28日

   第二報。個人情報保護委員会に確報を提出し、再発防止策の実施を完了

件数は「漏えいした可能性のある情報の最大件数」で、すべてが実際に閲覧・取得されたと確認したものではないとしています。メール・チャット・ファイルなどの業務情報やパスワードの漏えいは確認されていません。第二報では、要配慮個人情報は含まれないこと、この件が原因と確認された二次被害は把握していないこと、情報が外部に流出した事実も確認されていないことが加わりました。

第二報によると、原因調査の結果「攻撃者による資格情報の不正利用」が確認されました。同社は、使われた資格情報の無効化、不正アクセスに使われるおそれのある全アカウントの棚卸しと設定確認、監視の強化、不正アクセスを検知する仕組みの追加を行ったとしています。

02読者への影響

影響を受けやすいのは、三井不動産グループと仕事でメールをやりとりしている会社や団体の担当者です。メールアドレスと表示名が知られると、実在する担当者の名前を使った、本物らしい偽メールを作りやすくなります。同社も、グループの役職員等を装った不審なメールに注意するよう呼びかけています。マンションの入居者や物件の購入者など、一般のお客様の情報は、発表で対象として挙げられていません。

03今すぐやること

1. 三井不動産グループの社員を名乗るメールで、URL・添付ファイル・個人情報の入力や回答を求めるものは開かず、普段の連絡先に別の方法で確かめる
2. 振込先の変更や急ぎの支払いの依頼がメールで来たら、電話など別の経路で本人に確認する
3. 社内の経理・総務に、取引先を装うメールが届くおそれがあることを共有する
4. 心当たりのない連絡は、同社の専用窓口（mfirst@mitsuifudosan.co.jp）に問い合わせる

04同じことを防ぐには

今回の入口は、ログインのための情報の不正利用でした。IDとパスワードだけで外から入れる業務システムは、その情報が盗まれると正規の利用者と見分けにくくなります。二段階認証（多要素認証）を必須にする、使っていないアカウントを止める、ふだんと違う場所からのログインに気づける設定にする、の3つが基本です。図鑑の「乗っ取り・不正ログイン」の入口で、会社で使える対策をまとめています。

05今後の発表

同社は第二報で、再発防止策の実施を終え、対応を完了したとしています。