楽天ブックスネットワークのPCに不正アクセス。楽天ブックスの配送先33,333件などの情報が保存されていた

01発表されている事実

お客様の情報は、2022年5月18日〜19日と、2023年12月19日〜21日の注文データに含まれていた配送先の情報です。クレジットカード番号などの金融情報は含まれていません。同社は検知のあと、対象の端末をネットワークから切り離し、外部の専門機関と調査を進めています。個人情報保護委員会に報告し、対象者にはメールで知らせています。不正アクセスの原因の詳細は公表されていません。二次被害も確認されていないとしています。

02読者への影響

対象は、上の期間に楽天ブックスで注文した一部のお客様です。漏えいは確認されていませんが、同社は楽天や同社を装った不審な電話、メール、SMSに注意するよう呼びかけています。「配送先の確認」「荷物の不在」をうたうSMSは、楽天に限らずよく使われる手口です。取引先の担当者として情報が保存されていた会社も、同社の社員を名乗るメールに気をつけてください。

03今すぐやること

1. 楽天や楽天ブックスネットワークを名乗るSMSやメールのリンクは開かない。注文の状況は楽天ブックスのサイトやアプリから確かめる
2. 電話で個人情報や支払いを求められたら、その場で答えずに切る
3. 心配なときは、楽天ブックス カスタマーサポートの問い合わせフォームから確かめる

04同じことを防ぐには

今回、配送業務に使った数年前の注文データが、社内のPCに残っていました。PCは、サーバーよりも不審なメールや外部の機器に触れる機会が多く、侵入の入口になりやすい場所です。業務で書き出した顧客データは、使い終わったら消し、PCに残さないことを社内の決まりにしてください。あわせて、PCの不審な動きを見つけて止めるEDRを入れると、侵入に早く気づけます。図鑑の「EDR・法人向けウイルス対策」の分類で、中小企業でも使える製品を比べられます。

また、今回は検知から公表まで4か月あまりかかっています。調査で対象の情報を確かめるには時間がかかるため、会社は「どのPCやサーバーにどの顧客データがあるか」を日ごろから一覧にしておくと、いざというときに早く知らせられます。

情報が漏れたおそれがあるときに、会社が個人情報保護委員会へ報告する期限や手順は、同委員会の「漏えい等の対応とお役立ち資料」にまとまっています。