トレジャー・ファクトリーの出張買取・引越の管理システムに不正アクセス。メールアドレス74万件が取得される

01発表されている事実

10月20日にアクセスの記録を調べたところ、同日未明から朝にかけて不正アクセスが行われていたことが分かりました。同社は同日10時30分にシステムへの外からのアクセスを止め、11時05分に出張買取や引越などの申込フォームの受け付けを止めました。

クレジットカード番号やセキュリティコードなど決済の情報は含まれていないと確認したとしています。店舗で預かるお客様情報と、公式アプリで管理するお客様情報は別のシステムにあり、対象ではありません。同社は、今回の件は直近で公表されたPHPの脆弱性とは関係がないことも確認したとしています。

02読者への影響

取得された情報のほとんどはメールアドレスだけです。それだけでログインされることはありませんが、「買取の査定結果」「引越の見積り」などを装ったメールが届くおそれがあります。出張買取や引越を申し込んだ人には、本物らしく見えやすい内容です。同社も、心当たりのないメールやSMSのURLを開かないこと、不審なサイトでパスワードやカード情報を入れないこと、不審な電話は名乗った組織の公式の連絡先に自分で問い合わせることを呼びかけています。

03今すぐやること

1. トレジャーファクトリーを名乗るメールのリンクは開かず、公式サイトや公式アプリから確かめる
2. 振込先の変更や追加の支払いを求める連絡は、いったん止めて公式の窓口に確かめる
3. 対象者には個別にメールで案内しているとのこと。届いていないが心配な人は、専用窓口（0120-007-074、平日10時〜18時）に問い合わせる

04会社が同じことを防ぐには

同社グループでは8月にも、子会社でフィッシングによるスタッフのアカウントの乗っ取りがありました。今回は入口が違い、外に公開しているシステムの弱点が狙われました。ログインを固くするだけでは防げない入口があるということです。申込フォームや業務システムを外に公開している会社は、脆弱性診断で弱点を洗い出すこと、WAFで攻撃を止めることを検討してください。

05今後の発表

同社は、システムと申込フォームを安全対策の確認のうえで10月28日をめどに再開する予定としていました。新たに分かったことはホームページで知らせるとしています。