カインドオルのECサイト管理アカウントがフィッシングで乗っ取られ、顧客136,464名の情報が持ち出される

01発表されている事実

1. 8月23日

   お客様情報の一括エクスポート（書き出し）が2回行われる

2. 8月24日

   注文情報を出力しようとしたところ、スタッフアカウントのメールアドレスが自社で使っていないものに変えられていると判明

3. 8月28日

   公表。個人情報保護委員会へ報告

4. 9月2日

   専用窓口を開設。書き出された顧客情報のファイルがダウンロードされていたと、プラットフォーム提供会社の追加調査で確認

漏えいした可能性がある情報は、カスタマーID、氏名、住所、電話番号、生年月日、メールアドレス、メールマガジンの購読状況、合計注文回数、合計購入金額、顧客タグ情報、ポイントの履歴です。登録の状況によって、対象となる項目は人ごとに違います。クレジットカード番号、セキュリティコード、ECサイトのログインパスワードは含まれていないとしています。

カインドオルは、乗っ取られたアカウントには二段階認証が設定されておらず、パスワードの強度も十分でなかったと説明しています。現時点で二次被害は確認されていません。

02読者への影響

利用者には、住所や購入金額まで知られた状態で、なりすましのメール、SMS、電話が届くおそれがあります。同社は、対応を理由にメールやSMSでパスワードやカード情報の入力を求めることはないとしています。

ネットショップを運営する会社にとっては、他人事ではありません。今回はシステムの弱点ではなく、管理画面に入れる1つのアカウントが乗っ取られただけで、十数万人分の顧客情報が書き出されました。

03今すぐやること

• 利用者：カインドオルを名乗る連絡でパスワードやカード番号を聞かれても入力しない。分からないときは専用窓口（0120-721-616、平日9時〜18時）へ
• 運営する会社：ECサイトの管理画面のアカウントすべてに二段階認証を必須にする
• 運営する会社：「ログインの確認」「支払いの停止」などのメールからは管理画面に入らず、ブックマークから開く
• 運営する会社：顧客データの一括書き出しができる人を必要な人だけにしぼる

04同じことを防ぐには

カインドオルは再発防止として、全スタッフアカウントで二段階認証を必須にし、書き出しの権限を見直し、大量のデータ出力や重要な情報の変更を早く見つける監視を強めるとしています。今回はメールアドレスの書き換えで異常に気づいています。管理アカウントの登録情報が変わったら通知が届く設定にしておくと、早く止められます。図鑑の「乗っ取り・不正ログイン」の入口では、フィッシングメールの対策や社員向けの訓練サービスを紹介しています。

05今後の発表

同社は、対象のお客様に個別にメールで知らせています。登録アドレスや受信設定によっては届いていない場合があるとして、専用窓口で問い合わせを受けています。