事故から学ぶ

TOP > 事故から学ぶ > 不正アクセスホームページの書き換えサーバの安全管理措置の不備 > 弊社が運営するカタログギフト販売ECサイト「カタログギフトのハーモニック」への不正アクセスによる個人情報漏えいに関するお詫びとお知らせ

2022/07/21

弊社が運営するカタログギフト販売ECサイト「カタログギフトのハーモニック」への不正アクセスによる個人情報漏えいに関するお詫びとお知らせ

事故概要

業種	民間企業
発生時期	2022/2/8
漏えい人数	28700
事故概要	このたび、弊社が運営するカタログギフト販売ECサイト「カタログギフトのハーモニック（https://www.harmonick.co.jp）」におきまして、第三者による不正アクセスを受け、お客様のクレジットカード情報（最大28,700件）および個人情報（最大150,236件）が漏えいした可能性があることが判明いたしました。お客様をはじめ、関係者の皆様に多大なるご迷惑およびご心配をおかけする事態となりましたこと、深くお詫び申し上げます。当該サイトは、完全に分離独立したシステムで運営しているため、弊社で運営している他のサイトは、不正アクセスの対象とはなっておりません。また、弊社商品を取り扱う、百貨店、総合スーパーマーケットのギフトカウンター、ギフト店でご購入いただいたカタログギフトに関しても、当該サイトとは完全に分離したシステムでお客様の情報を管理している為、今回の不正アクセスによる情報の漏えいの心配はございません。なお、該当のお客様は特定できており、クレジットカード情報又は個人情報が漏えいした可能性のあるお客様には、本日より、電子メールにてお詫びとお知らせを個別にご連絡申し上げております。なお、電子メールがお届けできなかったお客様には、書状にてご連絡させていただきます。この件に関する疑問点などページ下部にFAQとして記載しておりますので、併せてご確認ください。FAQにて解決しないご不明点は、ページ下部 6.に記載のお問い合わせ窓口でも受け付けております。弊社では、今回の事態を厳粛に受け止め、再発防止のための対策を講じてまいります。お客様をはじめ関係者の皆様には重ねてお詫びを申し上げますとともに、本件に関する概要につきまして、下記の通りご報告いたします。記 1.経緯 2022年2月8日、一部のクレジットカード会社から、当該サイトを利用したお客様のクレジットカード情報の漏えい懸念について連絡を受け、同日弊社が運営するカタログギフト販売ECサイト「カタログギフトのハーモニック」でのクレジットカード決済を停止いたしました。同時に、第三者調査機関による調査も開始いたしました。2022年4月15日、調査機関による調査が完了し、2020年11月14日～2021年11月11日の期間に「カタログギフトのハーモニック」で購入されたお客様のクレジットカード情報が漏えいし、一部のお客様のクレジットカード情報が不正利用された可能性および個人情報の漏えいの可能性があることを確認いたしました。以上の事実が確認できたため、本日の発表に至りました。 2.個人情報漏えい状況 (1)原因弊社ではクレジットカード情報を保有しておりませんでしたが、弊社が運営する「カタログギフトのハーモニック」のシステムの一部の脆弱性をついたことによる第三者の不正アクセスにより、ペイメントアプリケーションの改ざんが行われたため。 (2)クレジットカード情報漏えいの可能性があるお客様 2020年11月14日～2021年11月11日の期間中に「カタログギフトのハーモニック」においてクレジットカード決済をされたお客様最大28,700名で、漏えいした可能性のある情報は以下のとおりです。・クレジットカード名義人名・クレジットカード番号・有効期限・セキュリティコード (3)個人情報漏えいの可能性があるお客様 2020年11月14日までの間に「カタログギフトのハーモニック」にて商品を購入又は会員登録されたお客様すべて（最大150,236名）で、漏えいした可能性のある情報は以下のとおりです。・氏名・住所・電話番号・メールアドレス・性別・生年月日お客様が名入れ商品用にご入力いただいている場合は、商品の名入れに必要な以下の情報または一部も含みます（最大5,445名）。・お子様の氏名・お子様の性別・お子様の生年月日・出産時の体重・出産時の身長上記(2)(3)に該当するお客様については、別途、電子メールにて個別にご連絡申し上げます。なお、電子メールがお届けできなかったお客様には、書状にてご連絡させていただきます。 3.お客様へのお願い (1)クレジットカード不正利用のご確認のお願い既に弊社では、クレジットカード会社と連携し、漏えいした可能性のあるクレジットカードによる取引のモニタリングを継続して実施し、不正利用の防止に努めております。お客様におかれましても、誠に恐縮ではございますがクレジットカードのご利用明細書に身に覚えのない請求項目がないか、今一度ご確認をお願いいたします。万が一、身に覚えのない請求項目の記載があった場合は、たいへんお手数ですが、同クレジットカードの裏面に記載のクレジットカード会社にお問い合わせいただきますよう、併せてお願い申し上げます。なお、上記２(2)のお客様がクレジットカードの差し替えをご希望される場合、クレジットカード再発行の手数料につきましてはお客様にご負担をお掛けしないよう、弊社よりクレジットカード会社に依頼しております。 (2)不審なメール・電話への注意喚起身に覚えのない電子メールが届いた場合には、メールを開かない、不審なリンクや添付ファイルをクリックしない等の対応をお願いいたします。不審な電話がかかってきた場合には、お客様の重要な情報等は決してお伝えにならないようお願いいたします。 4.公表が遅れた経緯について 2022年2月8日、の漏えい懸念発覚から今回の案内に至るまで、時間を要しましたことを深くお詫び申し上げます。本来であれば疑いがある時点でお客様にご連絡し、注意を喚起するとともにお詫び申し上げるところではございました。しかし、決済代行会社と協議し、不確定な情報の公開はいたずらに混乱を招き、お客様へのご迷惑を最小限に食い止める対応準備を整えてからの告知が不可欠であるとの説明を受け、発表は調査機関の調査結果、およびクレジットカード会社との連携を待ってから行うことに致しました。今回の発表までお時間をいただきましたこと、重ねてお詫び申し上げます。 5.再発防止策ならびに弊社が運営するサイトのクレジットカード決済再開について弊社はこのたびの事態を厳粛に受け止め、調査結果を踏まえてシステムのセキュリティ対策および監視体制の強化を行い、再発防止を図ってまいります。改修後の「カタログギフトのハーモニック」のクレジットカード決済再開日につきましては、決定次第、改めてWebサイト上にてお知らせいたします。また、弊社は今回の不正アクセスにつきまして、個人情報保護法に則り、認定個人情報保護団体に報告すべく、日本情報経済社会推進協会（JIPDEC）には2022年5月16日に報告済みであり、また、新潟県警察にも2022年5月10日に被害申告しており、今後捜査にも全面的に協力してまいります。
引用元	ハーモニック

■ 事故原因

事故の原因はチェックリストの下記項目が該当すると推察します。

（第20条）安全管理措置　システム管理（不正アクセス防止）

チェックリストにある要求ルール：

システムに対する脅威や攻撃への防止策と監視体制を構築し、直ちに対抗策を構築していますか？
自社のシステムに対する新たな脅威や攻撃の手口を知り対策を社内共有し、対策行動の適格性と検証をする仕組みはできていますか？
常にOSや、アプリケーションソフトウェアを最新化して安全な状態にしていますか？
メールを介したウイルス感染防止として操作者教育と管理を徹底していますか
パソコンにウイルス対策ソフトを入れていますか？さらにウイルス定義ファイル（コンピュータウイルスを検出するためのデータベースファイル「パターンファイル」とも呼ばれる）を自動更新するなど、パソコンをウイルスから守るための対策を行っていますか？
ログインIDにメールアドレス以外のIDを用意していますか？
ログイン時に2段階認証、2要素認証が可能な場合は設定していますか？
システム開発のテスト環境でウイルスチェックや不正侵入を防ぐセキュリティが甘くなっていませんか？
委託先にもまったく同じレベルで、個人情報の取扱い規則の周知徹底と監視監督をしていますか？

■ 推奨対策

対策：

システムの脆弱性と思慮されるが、システムの運用環境は常に変化するため、昨日まで安全でも今日には漏えいする、という状況が発生する。最低でも日単位でセキュリティー動向の最新情報を把握するとともに、サーバ管理会社とも密接な連絡を取り、安全対策を最新化しておくことが必要である。
企業や団体のSNSアカウントは、公開情報の発表や周知のために利用されることが多いが、今回のように顧客とのメッセージのやりとりなどを通して個人情報を取り扱うケースもある。加えてSNSアカウントの担当者が複数人いるケースでは、アカウント情報の取り扱いも複雑になり事故のリスクが高まる。SNSのビジネス向けの機能を活用して、アカウントを適切に管理したり、最低限の個人情報の取得・保管にとどめるなど注意が必要である。

具体例：

セキュリティーシステムは「自社も必ず攻撃を受ける」という意識で毎日ニュースをチェックし、その対策を考えるべきである。インターネットを利用したサービス提供事業者ならば、社内にもセキュリティーのエキスパートを育成し、セキュリティー専門会社との組み合わせでサービス全体の安全管理措置を講じていく必要がある。業者任せにしてはいけない。分からないまま済ませてはいけない。ユーザ数の多いサイトは最新ハッキング手法を試す実験場になっており、対策が後手に回るリスクを抱えている。常に最新対策情報を自ら得る体制を整えておくべきであろう。