ソフトバンク子会社のIDCフロンティアが提供するクラウド基盤サービス「IDCFクラウド」が10月7日に不正アクセスを受けたことで、同サービスを使用している事業者のウェブサービスなどが停止したり、顧客情報が漏えいするといった被害が出ている。同社によると495の企業・自治体などのサービスに影響がおよぶ可能性があるという。ネット販売事業者へも情報漏えいが発生するなどの被害が拡がっている。
在庫管理システムが停止
グリニッジは同日、展開するネット販売実施企業向け在庫連動・在庫管理システムなどが停止したと発表した。停止したシステムは「らくらく在庫」と「らくらく最安更新」、「ウルトラASP」の一部でこれらのサービスを利用するネット販売事業者の通販サイトで在庫連携や価格更新などの処理が行われない状態となるなど運営に影響が出ていた。停止の原因は「IDCFクラウド」への不正アクセスに起因する障害の影響によるもの。「らくらく在庫」「らくらく最安更新」「ウルトラASP」はともに「IDCFクラウド」を利用していたためだ。
「らくらく在庫」はIDCFクラウド以外の国内クラウドへ移行し、サービスを再構築した上で10月9日に復旧、再開した。「ウルトラASP」も10月7日に復旧している。「らくらく最安更新」は10月中旬現在、まだ復旧していない
JRのECで情報漏えい
同じく「IDCFクラウド」を使用していたJR東日本は、運営するチケット予約・購入サービスの「えきねっと」と「大人の休日倶楽部」で会員へのメール配信用外部サービスが一部使用できなくなり、メールアドレスなどの個人情報が漏えいした可能性があると同日付で発表。対象件数は最大でえきねっと会員が約167万件、大人の休日倶楽部会員が約39万件。漏えいした可能性がある個人情報は、えきねっと会員に関してはビジネスえきねっと会員を除いたメールアドレス。大人の休日倶楽部会員ではメールアドレス、会員番号、クレジットカード有効期限、生年月日。一部の顧客のメールアドレスを含む電子メールログデータなどが閲覧されたり、取得された可能性を否定できないとしている。
JR東海でも10月13日に運営する通販サイト「JR東海MARKET」と「いいもの探訪」に登録されていた個人情報合わせて約1万5000人分の氏名や住所などが漏えいした可能性があると発表した。JR九州も10月9日、Web会員向けに送信するメールマガジンが配信できないシステム障害が起きていると発表。また、管理する個人情報のうち、会員登録している約130万件のメールアドレスなどが流出した可能性があるとした。
不正アクセス被害、頻発
「IDCFクラウド」だけでなく、不正アクセス被害は9月から10月にかけて特に頻発しており、利用者の運転免許証の画像データが漏えいし、今後、深刻ななりすまし被害が発生する可能性があるタイムズカーのほか、日本コロムビアグループ、ローソン、損害保険ジャパン、物語コーポレーション、ブックコーポレーションなど様々な事業者から不正アクセス被害を受けたという発表があった。
ネット販売実施企業や関連事業者では、イープラスが電子チケット「スマチケ」の払戻し情報を管理するシステムが不正アクセスを受け、個人情報1463件が漏えいしたと9月29日に発表。また、10月6日にはディスカウントストアを展開するミスターマックスがアプリと通販サイトのサーバーが不正アクセスを受け、最大173万5154件の会員情報が外部に流出したと発表している。同9日には航空券などの予約サイト「スカイチケット」を運営するアドベンチャーが同社サーバーへの不正アクセスを受け約1464万件の顧客情報が流出したと発表している。また、同13日には委託先のコミューンが不正アクセスを受けた影響で、LINEヤフーが企業や団体向けに展開中の同社サービスの検索データや位置情報などのビックデータをブラウザー上で調査・分析できるツール「DS.INSIGHT(インサイト)」のユーザー情報の一部が第三者に閲覧・取得された可能性があると発表している。
AIを活用した自動プログラムによる脆弱性探索や認証情報の悪用などにより、不正アクセスがやりやすくなったとの見方もあり、今後も不正アクセスを受ける事業者が増える可能性があり、EC事業者も注意する必要がある。