あいの風とやま鉄道の観光列車の予約システムに不正アクセス。1,409人の氏名・住所・電話番号が漏えいのおそれ

01発表されている事実

1. 9月2日（水）

   最初の外部からの不正アクセス。以降、9月8日までに複数回

2. 9月8日（火）朝

   社員がシステムを見たところ、複数の予約がキャンセルされ、正規の手順でない予約もあった。すべての新規予約の受付を止め、調査を開始

3. 9月10日（木）

   調査の結果、1,409人の情報が漏えいしたおそれを確認

4. 9月12日

   対象のお客様にお詫びとお知らせの文書を郵送

5. 9月15日

   公表（個人情報保護委員会と警察などには報告済み）

6. 9月28日

   意図しない予約キャンセルへの対応が完了したと追記

漏えいのおそれがあるのは、氏名・住所・電話番号・メールアドレスです。ネット予約のクレジットカード支払いは別会社の独立したシステムで処理しており、座席管理システムはカード情報を持っていないため、カード情報の漏えいはないとしています。9月15日の時点で、情報の不正利用などの二次被害の報告は確認されていません。原因は調べている最中です。

ネットからの新規予約は止めたままで、当面は電話で予約を受け付けています。運行計画の変更はないとしています。

02読者への影響

漏れたおそれのある情報には、住所と電話番号、メールアドレスがそろっています。同社は、鉄道会社や関係機関を装った不審な連絡が来る可能性があるとして、身に覚えのない連絡や不審なURL・添付ファイルは開かずに削除するよう呼びかけています。「予約の変更」「払い戻し」などを口実に、カード情報や振込を求める連絡には注意してください。

03今すぐやること

1. 観光列車を予約・乗車したことがある人は、同社から9月12日付の文書が届いていないか確かめる
2. 同社を名乗るメール・SMS・電話で、払い戻しや支払いを求められても応じない。問い合わせは同社の専用窓口（0120-489-130、9時〜17時、土日祝・年末年始を除く）へ
3. 予約の内容に心当たりのない変更がないか、乗車前に確かめる

04予約サイトを持つ会社が同じことを防ぐには

今回は、社員が「身に覚えのないキャンセル」と「正規の手順でない予約」に気づいたことで発覚しました。予約や会員のシステムは、外から入られると情報を見られるだけでなく、データを書き換えられることもあります。管理画面へのログインに二段階認証を使う、予約やキャンセルの急な増減に気づける仕組みを作る、WAF（Webアプリへの攻撃を止める仕組み）を入れる、などが対策になります。委託しているシステムなら、委託先がどんな対策をしているか確かめておくことも大切です。

05今後の発表

同社は、新たな事実が分かれば改めて知らせるとし、再発防止策を講じたうえでシステムの早期復旧に取り組むとしています。