ワールドの子会社ティンパンアレイに不正アクセス。会員情報 延べ約120万件が流出の可能性

01発表されている事実

1. 10月17日（土）14時51分頃

   外部からティンパンアレイの業務サーバーに不正アクセス。サーバーへの侵入と、データを抽出する操作が行われる

2. 10月28日（水）12時08分頃

   不正な操作を検知し、サーバーを隔離

3. 10月28日 21時36分まで

   不正アクセスの経路を遮断し、関連する社内業務システムの一部を停止

4. 10月29日（木）

   警察へ相談し、個人情報保護委員会へ報告

5. 10月30日

   ワールドが公表

流出した可能性がある項目は、氏名・住所・電話番号・生年月日・性別・メールアドレスです。クレジットカード情報その他の決済情報と、顔情報の流出は確認されていないとしています。原因の詳しい説明はまだなく、今後、外部のセキュリティ専門家に調査を依頼するとしています。

02読者への影響

氏名・住所・電話番号・生年月日・メールアドレスがそろっているため、本人確認に使われる情報をひととおり知られた状態になりえます。ティンパンアレイやワールドグループを名乗るお詫びのメールに見せかけて、偽サイトへ誘導する手口が考えられます。同社は今後、ホームページでの告知と会員への個別メールでお詫びと注意喚起をするとしています。届いたメールが本物かどうかは、メールの中のリンクではなく、公式サイトから確かめてください。自分が対象かどうか分からない人も、まずは同社からの個別メールと公式サイトの案内を待ち、それ以外の経路で届く「対象者のご案内」は疑ってかかるのが安全です。

03今すぐやること

1. ティンパンアレイやワールドを名乗るメール・SMSのリンクは開かない。案内は公式サイトで確かめる
2. 「お詫びのポイント」「返金」などを理由にカード番号やパスワードを入力させる画面には入力しない
3. 生年月日を使ったパスワードや暗証番号を使っているなら、別のものに変える
4. 覚えのない請求や配送の連絡が届いたら、その連絡先ではなく、自分で調べた公式の窓口に問い合わせる

04侵入から検知まで11日

今回の発表で目を引くのは、侵入とデータの抽出が10月17日に行われ、検知が10月28日だったことです。会社の側から見ると、気づかないうちに持ち出されていた期間がありました。中小企業でも、サーバーへのログインや大量のデータの読み出しを記録し、ふだんと違う動きに気づける仕組み（ログの監視）を用意しておくことが、被害の広がりを抑えます。自社で見張るのが難しければ、外部の監視サービス（SOC）に任せる方法もあります。

05今後の発表

ワールドは、業績への影響は精査中とし、開示すべき事項が分かれば知らせるとしています。対象となる会員と件数の詳細も確認中です。