事故から学ぶ

「JR 九州 Web 会員向けサービスサイト」における不正アクセスと被害について_九州旅客鉄道株式会社

事故概要

業種 鉄道会社
発生時期 2020/9/13-2020/9/15
漏えい人数 1269
事故概要

当社の「JR 九州 Web 会員向けサービスサイト」において、9 月 13 日から 15 日にかけて海外の IP アドレスから不正アクセスを受け、不正ログイン及び一部で不正なポイント交換が行われたことが判明しました。今回の不正ログインの手法は、当社以外から流出した可能性のあるユーザ ID・パスワードを利用した「リスト型アカウントハッキング(リスト型攻撃)」の手法と推測されます。
詳細は、以下の通りです。
1.概況
9 月 16 日朝、お客さまから「身に覚えのないポイント交換を通知するメールが届いた」という申告があり、調査をしたところ不正なポイント交換申請を確認しました。調査を進めたところ、9 月13 日~15 日にかけ、海外の複数の IP アドレスから不正なアクセスを受け、一部で不正なポイント交換が行われたことが判明しました。
2.現時点で判明している不正ログインと被害の状況
不正ログイン:1,269 件
※会員情報が不正に閲覧された可能性があります。
氏名、生年月日、性別
(その他の会員情報については、マスク処理しています。)
不正ポイント交換:1 件(3,100 ポイント)
※その他 6 件について不正なポイント交換申請が行われましたが、交換完了前に処理を停止しました。
3.発覚後の対応状況
① 一部のポイント交換サービスを停止しました。
② 不正ログインのアクセス元である海外 IP アドレスを遮断しました。
③ 不正なポイント交換申請が行われたお客さま(7 名)に対し電話連絡を行い、事情の説明及びパスワード変更の依頼を行いました。
④ 不正ログインが行われた可能性のあるお客さま(1,262 名)に対し個別にメールを送付し、パスワード変更を依頼しました。
⑤ 当社メールマガジンやホームページ、アプリを通じて、お客さまに注意喚起を行いました。
4.お客さまへのお願い
パスワードの使い回しは、個人情報の漏洩や不正なポイント交換など、お客さまご自身の被害につながってしまう危険があります。セキュリティ対策のため、パスワードはサイトごとに分けて管理いただくほか、弊社サービスのログインに使用されるパスワードにつきましても、定期的な変更をお願いいたします。
また、G ポイント、T ポイント、Ponta ポイントへの交換はしばらくの間、停止させていただきます。再開時は改めてホームページ等によりご案内を致します。

引用元 九州旅客鉄道株式会社

■ 事故原因

事故の原因はチェックリストの下記項目が該当すると推察します。

20-1(第20条)安全管理措置 システム管理(不正アクセス防止)

チェックリストにある要求ルール:

システムに対する脅威や攻撃への防止策と監視体制を構築し、直ちに対抗策を構築していますか?
自社のシステムに対する新たな脅威や攻撃の手口を知り対策を社内共有し、対策行動の適格性と検証をする仕組みはできていますか?
常にOSや、アプリケーションソフトウェアを最新化して安全な状態にしていますか?
パソコンにウイルス対策ソフトを入れていますか?さらにウイルス定義ファイル(コンピュータウイルスを検出するためのデータベースファイル「パターンファイル」とも呼ばれる)を自動更新するなど、パソコンをウイルスから守るための対策を行っていますか?
ログインIDにメールアドレス以外のIDを用意していますか?
ログイン時に2段階認証、2要素認証が可能な場合は設定していますか?
システム開発のテスト環境でウイルスチェックや不正侵入を防ぐセキュリティが甘くなっていませんか?
委託先にもまったく同じレベルで、個人情報の取扱い規則の周知徹底と監視監督をしていますか?

■ 推奨対策

対策:

近年、不正アクセスの手口も巧妙化しており、日々対応が必要であるが、一般的な対応と専門家に指導を受けたサービス会社での対応の2種類がある。
一般的な対応でも確実に行っていれば大半は防げるが、問題なのは100点を取らないと不正アクセスされてしまう点である。扱う情報の重要度に応じて適切な投資をしてより堅固な対応をタイムリーに行う必要がある。

具体例:

専門家による不正アクセスの原因の調査及び再発防止策等の検討
・不正アクセスをした第三者の特定及び被害の発生・拡大防止のため、警察当局への相談
・外部の専門家の助言も踏まえ再発防止の構築
とあるので、より堅固な対策を講じて頂きたい。

ご入会のお手続きはこちら

会費のお支払い方法は、クレジットカード払いと口座振替の2種類お選びいただけます。 (会費のお支払方法により、入会手続きが異なります。) 詳しくは、「ご入会の流れについて」をご確認ください。