まんだらけのサーバーに不正アクセス。通販とオークションを一時停止、注文者の住所などに漏えいの可能性

01発表されている事実

1. 8月27日（木）23時ごろ

   サーバーへの不正アクセスを確認。対象サーバーを停止・隔離し、外部との通信を遮断

2. 8月30日

   公表。個人情報保護委員会へ報告し、警察に被害届を提出

3. 9月4日

   中間報告

4. 9月5日〜9日

   通販を9月5日12時に再開。毎日オークションは9月7日、大オークションは9月7日に公開・9月9日に落札開始

5. 10月28日

   最終報告。配送情報を持つサーバーへの侵入が判明

最終報告では、配送情報（氏名・住所・メールアドレス）を持つサーバーに侵入されたことが分かりました。一方で、「データベース内の個人情報が閲覧・取得されたことを示す記録や、外部に持ち出された形跡は、今回の調査では確認されませんでした」としています。クレジットカード情報は保持していないため漏えいはなく、パスワードと買取会員の情報も漏えいの可能性はないとしています。件数と侵入の経路は公表されていません。

02読者への影響

持ち出しの形跡は見つかっていませんが、注文した人の名前と住所を知っているかのような偽の連絡には引き続き注意が必要です。まんだらけは、情報の再入力やパスワードの問い合わせをメールやSMSで行うことはないとしています。コレクター向けの店なので、「落札の確認」「買取の査定」を装った連絡に気をつけてください。

03今すぐやること

1. まんだらけを名乗るメールやSMSで、情報の再入力やパスワードを求められても応じない
2. 注文やオークションの状況は、公式の通販サイトやオークションのページに自分でアクセスして確かめる
3. 心配なときは、Web制作部（03-3228-0007、12時〜20時、ガイダンスで「5」→「6」）か privacy@mandarake.co.jp に問い合わせる
4. 使っていないアカウントは、公式の退会手順で整理する

04同じことを防ぐには

まんだらけは再発防止として、脆弱性の修正と攻撃経路の遮断、起点となったサーバーの隔離・廃棄、全サーバーの再点検、認証情報の変更、ファイル改ざんの監視を挙げています。通販サイトを自社で動かす中小企業は、IPAの「ECサイト構築・運用セキュリティガイドライン」のチェックリストで、更新の遅れや不要なサーバーが残っていないかを確かめてください。外からの攻撃を止めるWAFや、定期的な脆弱性診断も役に立ちます。図鑑の「Webサイトへの攻撃」の入口に、頼み先と製品をまとめています。

05今後の発表

まんだらけは10月28日の最終報告で調査の結果をまとめました。通販とオークションはすでに再開しています。退会したい人のために、会員の退会手順も公式サイトで案内しています。