業務委託先のコンピューターがマルウェアに感染し、約870万件の顧客・従業員記録が流出した可能性がある。これにより、企業が第三者に取り扱いを委ねた個人情報をどのように保護しているのかが問われている。
日本のエンターテインメント企業Daiichi Koshoは10月8日、個人情報の一部を取り扱う業務委託先、Nippon Columbia Group（NCG）の従業員のコンピューターがマルウェアに感染したことで、約872万件の記録が影響を受けた可能性があると公表した。同社は、情報が盗まれた、外部に流出した、または悪用されたことは確認していない。
このインシデントには、BIG ECHOを含むDaiichi Koshoのカラオケ事業および飲食・宿泊関連事業に紐づく情報が関係している。また、外部の業務委託先に依存する組織にとって、より広範な懸念も浮き彫りにした。第三者のデバイス1台が侵害された場合、どれほど多くの機密性の高い顧客情報がリスクにさらされる可能性があるのだろうか。
Nippon Columbiaのマルウェアインシデントの経緯
Daiichi Koshoの公式発表によると、Nippon Columbia Groupは10月1日から2日にかけて、従業員のコンピューター上でマルウェアを発見した。影響を受けたコンピューターには、業務委託先がDaiichi Koshoにサービスを提供する過程で取り扱っていた個人情報が一時的に保存されていた。
Nippon Columbia Groupは10月2日、そのコンピューターをネットワークから隔離した。影響の可能性を調査した後、業務委託先は10月5日にDaiichi Koshoへ通知した。Daiichi Koshoは10月8日、インシデントを公表した。
Daiichi Koshoは、店舗の会員登録および予約に関連する顧客記録を約863万1,000件、従業員記録を9万3,000件特定し、影響を受けた可能性のある記録の総数は約872万4,000件となった。
顧客記録の数は、同社の事業間で重複する約51万5,000件を調整したものだ。これらはインシデントの影響を受けた可能性のある記録のおおよその件数であり、固有の個人の人数が確認されたものではない。調査担当者は、個人情報がアクセスされたか、盗まれたかどうかもまだ明らかにしていない。
影響を受けた可能性のある顧客情報には、以下が含まれる。
- 登録名を含む氏名
- 性別および生年月日
- メールアドレスおよび電話番号
記録は、BIG ECHO、MEGA BIG、Karaoke CLUB DAM、Banana Club、B-GARAGE、DK Diningなど、Daiichi Koshoの複数の事業に関連している。
Daiichi Koshoによると、パスワードは影響を受けた可能性のある情報には含まれていなかった。また、ロイヤルティポイントが不正に利用された証拠もないという。
重要なのは、このインシデントに関連する外部へのデータ流出や悪用が確認されていないことだ。Daiichi Koshoは、自社システムへの影響は見つかっていないとしつつ、予防措置として確認作業を続けている。
BleepingComputerの報道によると、Nippon Columbia Groupは対応の一環として、パスワードやその他の認証情報をリセットした。
マルウェアの種類、最初の感染経路、攻撃者が情報にアクセスしたか、情報を持ち出したかどうかは、まだ公表されていない。
このインシデントが顧客とセキュリティチームに意味すること
データが盗まれたことが確認されていないとしても、影響を受けた可能性のある個人情報の量から、このインシデントは重大だ。
氏名、生年月日、メールアドレス、電話番号は、犯罪者が説得力のあるフィッシングメッセージを作成したり、正規の企業になりすましたりするのに利用できる。こうした情報は、顧客が過去に利用したサービスに関する標的型詐欺で特に悪用されやすい。
影響を受けたカラオケ・飲食関連ブランドの顧客は、Daiichi Koshoまたはその事業者を名乗る不審なメール、テキストメッセージ、電話に注意すべきだ。
不審なリンクは避け、公式の企業窓口を通じて依頼内容を確認し、追加の個人情報や支払い情報を求めるメッセージには警戒する必要がある。
セキュリティチームにとって、このインシデントは、顧客情報を外部のサービスプロバイダーと共有した後も保護することの重要性を示している。
業務委託先には数百万件の記録を処理する正当な権限が与えられている場合がある。しかし、そのアクセスには、情報の保存や取り扱いに使用するデバイスにまで及ぶセキュリティ上の責任も伴う。
eSecurity Planetが取り上げた他のインシデントも、顧客データの露出や第三者のセキュリティ上の弱点がもたらす結果を示している。
たとえば、 ASOSのアカウント乗っ取りインシデントでは13万8,828人の顧客が影響を受け、 IDScanの情報漏えいとその後の訴訟は、機密性の高い個人情報の取り扱いに疑問を投げかけた。
別の BigCommerceの第三者アプリ侵害は、外部サービスプロバイダーの認証情報が侵害されると、主要プラットフォームが直接侵害されなくても顧客情報がリスクにさらされる可能性を示した。
これらのインシデントは原因も確認された影響も異なるが、第三者が機密情報にアクセスし、保存し、保護する方法を精査する必要性を改めて示している。
外部のデータ処理業者と連携するセキュリティチームは、以下の領域を見直すべきだ。
- データ保管：業務委託先が、たとえ一時的であっても、大量の個人情報を従業員のコンピューターに保持する必要があるかどうかを確認する。
- エンドポイント保護：機密情報を扱う業務委託先のデバイスに、適切なマルウェア検出、監視、対応機能が備わっていることを確認する。
- アクセス制御：第三者による情報へのアクセスを、特定の業務機能に必要な範囲に限定する。
- インシデント対応：業務委託先が侵害の疑いを速やかに報告するよう、明確な通知要件を定める。
組織はまた、機密情報を個々のワークステーションにローカル保存するのではなく、より厳格に管理されたシステムを通じて処理できるかどうかも検討すべきだ。
Daiichi Koshoは専用の顧客問い合わせ窓口を設置し、インシデントの調査を継続していると述べている。同社は公表時点で、影響を受けた可能性のある情報が盗まれたり悪用されたりしたことを確認していなかった。
セキュリティ責任者にとって、この教訓は今回のマルウェア感染だけにとどまらない。第三者のセキュリティは、誰が顧客情報にアクセスできるかだけでなく、その情報がどこに保存され、どの程度の期間保持され、業務委託先のデバイスが侵害された際に組織がどれだけ迅速に対応できるかにも左右される。
サイバーセキュリティのニュースをもっと読む：第三者によるセキュリティリスクの別の例として、 ManoManoのベンダー侵害で約3,800万人の顧客の個人データが流出した事例。