住宅設備のコロナが使うクラウドに不正アクセス。施工を頼んだ約2万4,000名の氏名や住所が流出

01発表されている事実

1. 8月24日

   外部の専門家からの情報提供を受け、調査を始める

2. 8月28日

   第1報。最大35,000名分。クラウドサービスの全ユーザーアカウントを無効化して再設定し、個人情報保護委員会へ報告

3. 8月31日

   個人情報相談窓口を開設（第1報での予定）

4. 10月22日

   第2報。対象は約24,000名。原因の一部を公表

第2報によると、インターネット上に同社に関する情報が載っていることが確認され、その情報はクラウドサービスに保管していたファイルと一致しました。特定のアカウントの認証情報が漏れ、そのアカウントからデータがダウンロードされていました。認証情報が漏れた経緯は調査中です。

コロナは、このクラウドサービスに多要素認証を設定しておらず、IDとパスワードだけでログインできたこと、パスワードの強度も十分でなかったことを、防げなかった要因の一つに挙げています。クラウドサービスの名前は公表されていません。現時点で情報の不正利用は確認されていません。

02読者への影響

施工の資料には、家の場所や設置した機器が分かる情報が含まれることがあります。コロナや施工業者を名乗って「点検」「部品の交換」「保証の更新」を持ちかける電話や訪問には気をつけてください。家の設備の話を正確にされても、それだけで本物と判断しないことが大切です。

03今すぐやること

1. コロナを名乗る電話や訪問で点検や支払いを持ちかけられたら、その場で決めず、個人情報相談窓口（0120-560-782、平日9時〜17時）に自分から問い合わせる
2. 不審なメールやSMSのリンクは開かない
3. コロナから個別の連絡が届いたら、内容を家族にも伝える

04同じことを防ぐには

今回のように、社外のクラウドサービスはIDとパスワードが漏れれば、どこからでもログインできます。会社で使うクラウドは、すべてのアカウントに多要素認証をかけ、長く使っていないアカウントや、退職者・取引先のアカウントを残さないようにしてください。施工業者や代理店とファイルを共有するサービスも同じです。コロナも再発防止として、パスワードの強化と多要素認証の設定、監視の強化、従業員教育を挙げています。図鑑の「ゼロトラスト・SASE」の分類では、社外のクラウドへのログインをまとめて守るサービスを比べられます。

05今後の発表

コロナは対象者を特定し、順次個別に連絡するとしています。業績への影響は軽微と見込んでいますが精査中で、新たに分かったことは速やかに公表するとしています。