チョコレートの製造・販売を手掛けるリンツ＆シュプルングリージャパンは10月23日、通販サイトとスマートフォンアプリの会員情報314万7469件が漏えいしたと発表した。通販サイト構築・運営サービス「futureshop」を展開するフューチャーショップのサーバーが不正アクセスを受けたことが原因。リンツは21日から通販サイトを停止している。
フューチャーショップのサーバーで使用していたソフトウェアのぜい弱性を第三者が突き、10月17日午後11時2分から18日午前0時16分にかけて不正アクセスを受けたことで、通販サイトとアプリで共通の会員アカウントの情報が不正に取得されたという。
流出した情報は、会員ID、氏名、メールアドレス、住所、電話番号、生年月日、性別、メールマガジンの受信設定、登録店舗情報、ハッシュ化されたログインパスワードなど。不正アクセス時点で退会済みだった会員は含まない。クレジットカード情報などの決済情報は流出していないという。リンツによると、26日時点で流出情報の悪用は確認されていない。
フューチャーショップは19日に不正アクセスの侵入経路を遮断し、ぜい弱性対策を実施した。外部のセキュリティー専門機関による調査も予定。なお、再発防止と二次被害防止の観点から、攻撃手法等の詳細については公表していない。
リンツ社では被害拡大を防ぐため、21日午後4時から通販サイトを停止した。停止前に受け付けた注文については予定通り商品を届ける。アプリでは新規会員登録や新規ログイン、会員情報の確認・変更、購入履歴の閲覧などが利用できなくなっている。一方、ログイン済みの会員は、実店舗でのポイント付与や利用が引き続き可能。
フューチャーショップではリンツ社が被害を受けた不正アクセスについて「PHPのぜい弱性とは無関係」と説明。また、別件で10月21日にも不正アクセスを受けているが、この件とも別の事象という。