スカラコミュニケーションズの情報漏えい、大和証券など委託元5社に影響

スカラコミュニケーションズのi-askに不正アクセス【最大5社に影響】

スカラコミュニケーションズ（以下、SC社）が提供するFAQシステム「i-ask」が第三者に不正アクセスされ、同じサーバーで動作していた利用企業最大5社の問い合わせ情報が漏えいした恐れがあります。FAQシステムとは、企業がよくある質問を掲載したり問い合わせを受け付けて管理したりする仕組みです。大和証券などの委託元は問い合わせの管理をSC社に任せており、SC社は各社から見た委託先です。

また、SC社が公表した対象は最大71万3,126件で、問い合わせ1回を1件とカウントした延べ件数です。 同じ人が何度も問い合わせていれば重複してカウントされています。SC社は同じ人の重複を1人にまとめる名寄せを進めており、実際の対象人数はまだ公表していません。

SC社の親会社は、東京証券取引所スタンダード市場に上場するスカラ（証券コード4845）です。同じ週には第一興商（ビッグエコー）の委託先でも情報漏えいの恐れが公表されていますが、委託先も原因も異なる別の漏えい事案です。

10月2日夜からi-askに不正アクセス、3日朝に遮断

第三者は10月2日20時30分頃からi-askの管理サイトに不正にログインし、SC社は翌3日8時頃に遮断しました。 第三者はSC社が管理するサーバーに不正なプログラムを置き、同じサーバー上にある利用企業のデータベースから問い合わせ情報を取得した可能性があるとのこと。

SC社は3日朝にデータベースの監視アラートで異常に気づいて原因調査を開始し、該当する利用企業へは同日中に報告しています。その後の動きは次のとおりです。

不正アクセスから委託元5社の公表までの流れ（SC社と委託元5社の公表より）

日時	出来事
10月2日20時30分頃	第三者がi-askの管理サイトに不正にログインし不正なプログラムを設置
10月3日朝	データベースの監視アラートをきっかけにSC社が原因の解析に着手
10月3日8時頃	SC社が不正アクセスを遮断し、該当する利用企業へ同日中に報告
10月5日	大和証券が公表
10月6日	SC社とシチズン時計が公表
10月7日	損保ジャパンと東武鉄道が公表
10月8日	オリックス生命が公表

大和証券・シチズン時計・損保ジャパン・東武鉄道は、SC社から受けた説明として10月2日20時33分頃から3日8時1分頃という分単位の時刻を公表しています。SC社の公表は20時30分頃から8時頃というおおよその時刻です。

委託元5社が公表した件数と漏えいした可能性がある個人情報

委託元として公表したのは、大和証券・シチズン時計・損保ジャパン・東武鉄道・オリックス生命の5社です。 SC社は利用企業の名前を公表していませんが、5社がそれぞれSC社のサービスを使っていたと自ら公表しました。各社が公表した内容は次のとおりです。

委託元5社が公表した件数（各社の公表より・公表日順）

会社	公表日	件数
大和証券	10月5日	約11万名（問い合わせ全体で約22万件）
シチズン時計	10月6日	約10万名分
損保ジャパン	10月7日	延べ約6万件
東武鉄道	10月7日	件数の公表なし（閲覧・取得の形跡は確認されていない）
オリックス生命	10月8日	約2万6,500件（同じ人の複数回を含む）

大和証券とシチズン時計は人数、損保ジャパンとオリックス生命は問い合わせの件数を単位にしています。単位がそろっていないため、各社の数を合算することはできません。全体の数として出ているのはSC社が公表した延べ最大71万3,126件だけです。

大和証券の約11万名分は氏名・メールアドレス・口座番号を含む

大和証券では、約11万名の氏名・メールアドレス・口座番号などが漏えいした恐れがあります。個人を特定できる情報のない問い合わせも合わせると約22万件です。大和証券はインターネット経由で受けた問い合わせの管理にSC社のサービスを使っており、受付済みの問い合わせ履歴がSC社のサーバーに保存されていました。

ただし、大和証券は口座番号が含まれていてもこの情報だけではオンライントレードを含め証券口座へのアクセスや取引はできないとしています。 今回の件を原因とする不正な取引も、情報がインターネット上に公開・拡散された事実も公表時点では確認されていません。

シチズン時計の約10万名分は氏名・住所・電話番号などを含む

シチズン時計では、約10万名分の氏名・住所・電話番号・メールアドレスなどが対象です。シチズン時計は、シチズン・ブローバ・フレデリック・コンスタントのWebサイトにある問い合わせフォームの受付にSC社のシステムを使っていました。問い合わせ内容の入力フィールドに銀行口座やクレジットカード情報を書いていた場合は、その情報も漏えいした恐れがあるとのこと。

ただし、ECサイトや会員制サービスのMY CITIZENなど、自社システムへの不正アクセスは確認されていません。 シチズン時計はこのシステムを新しい問い合わせの受付にはすでに使っておらず、10月中旬に利用を終えて保管している個人情報をすべて削除する予定です。

損保ジャパンは事業者向けドライブレコーダーの問い合わせ約6万件

損保ジャパンでは、事業者向けの通信機能付きドライブレコーダー「SMILING ROAD」の問い合わせは延べ約6万件が対象です。損保ジャパンは主にSMILING ROADを導入した企業の従業員から届く問い合わせを受け付けるために、SC社のサービスを使っていました。漏えいした恐れがある情報は次のとおりで、運転に関する情報も含まれます。

• 氏名・電話番号・住所・メールアドレス
• 法人名や部門名などの勤務先の情報
• ドライバーIDと運転アラートの種別・発生日時
• ドライブレコーダーのシリアル番号と申込み番号
• 問い合わせの件名と本文

ドライバーIDは、事業者がドライバーごとに割り当てて運転の振り返りや安全運転の指導に使うIDのこと。ただし、金融機関の口座・クレジットカード・マイナンバーカードの情報は含まれていません。

オリックス生命は医療情報を含む問い合わせ約2万6,500件

オリックス生命では医療情報を含む問い合わせ約2万6,500件が対象です。件数には同じ人が複数回問い合わせた分も含まれます。オリックス生命は公式Webサイトから受けた問い合わせの管理に、SC社のサービスを使っていました。

また、漏えいした恐れがある情報は氏名・生年月日・住所・電話番号・メールアドレス・証券番号と問い合わせ内容です。 問い合わせ内容にはお客さまが申告した医療情報なども含まれます。マイナンバーやクレジットカード番号のように財産的な被害を招く恐れのある情報は、含まれていないとのこと。

東武鉄道では不正アクセスで情報が閲覧・取得された形跡は確認されていない

東武鉄道もSC社のサービスを使っていましたが、東武鉄道に関する情報が閲覧・取得された形跡は、現時点で確認されていません。 お客さまセンターの「お問い合わせ」フォームでSC社のサービスを使っていたため、SC社から報告を受けて10月7日に公表しました。念のため、不審なメールに記載のリンクや添付ファイルを開かないよう呼びかけています。

SC社は原因を解析中【管理者ログインを多要素認証へ】

第三者がどうやってi-askの管理サイトにログインしたのかを、SC社はまだ明らかにしていません。 第三者がログインに必要な情報をどこで手に入れたのかも、10月10日時点で不明です。

フォレンジック解析とは、サーバーに残った記録などを調べて侵入経路や被害の範囲を明らかにする解析のことで、SC社は外部の専門機関と連携してフォレンジック解析を進めています。SC社がすでに完了した対応は次の4つです。

• 不正ログインに使われたアカウントのパスワードと、全環境にある管理者アカウントのパスワードを変更
• 攻撃元IPアドレスからのアクセスを遮断
• 設置された不正なプログラムを隔離
• アップロードされたファイルをプログラムとして実行できないように設定を変更

恒久的な再発防止策は解析の結果をもとに策定するとしています。SC社が今後講じるとしている対策は次の4つです。

• 多要素認証導入など管理者認証の強化
• 環境間の分離
• 監視体制の強化
• 第三者による定期的な脆弱性診断

多要素認証とは、パスワードに加えてスマートフォンに届く確認コードなども求めるログイン認証のことです。SC社は個人情報保護委員会へ報告し、警察にも相談しています。

委託元5社の自社システムへの不正アクセスや個人情報の不正利用は確認されず

5社とも自社システムへの不正アクセスは確認されていません。つまり、不正アクセスを受けたのはSC社のサーバーで、委託元の各社が自ら管理するシステムではありません。 東武鉄道を除く4社とSC社は、公表時点で個人情報の不正利用といった被害は確認されていないとしています。

大和証券・損保ジャパン・オリックス生命は委託先管理のあり方を検証するとしており、シチズン時計は個人情報を預ける委託先の管理を強化すると表明しました。大和証券は他の委託先についても見直しを進めています。

スカラコミュニケーションズの情報漏えい後はなりすましを警戒

委託元5社やSC社を装う不審なメール・SMS・電話には、注意することが大切です。 なりすましとは実在の会社や人物を装って相手をだまそうとする手口のことで、今回は氏名や連絡先に加えて問い合わせの中身も漏えいした恐れがあるので、ご自身が実際に問い合わせた内容に触れて本物に見せかけた連絡が届く恐れがあります。

大和証券と損保ジャパンは、氏名や問い合わせ内容を使った電話・メールの詐欺に注意するよう呼びかけています。各社がお客さまに求めていることは次のとおりです。

• 不審なメールやSMSに記載のリンクや添付ファイルを開かない
• 取引用のIDやパスワード・暗証番号・ワンタイムパスワードは、伝えないようにする（大和証券）
• 心当たりのない連絡は公式サイトなどで確認した正規窓口に問い合わせる
• 詐欺の被害が疑われるときは最寄りの警察に相談する（オリックス生命）

東武鉄道を除く4社は、ご自身の情報が対象かどうかを個別連絡で伝えるとしています。オリックス生命からの連絡は書面かメールなどで届くとのこと。

大和証券など5社の問い合わせ窓口と受付時間

今回の情報漏えいに関する問い合わせは各社が設けた専用の窓口で受け付けています。 シチズン時計だけは電話ではなく専用のお問い合わせフォームです。

委託元5社とSC社の問い合わせ窓口（各社の公表より）

会社	窓口	受付時間
大和証券	0120-851850（お客さま専用対応窓口）	午前9時から午後5時（土日祝日を除く）
シチズン時計	専用お問い合わせフォーム	―
損保ジャパン	0120-268-567（お客さま専用窓口）	平日9時から17時（土日祝日・年末年始を除く）
東武鉄道	0120-983-861	9時から18時（土休日も含む）
オリックス生命	0120-330-053（カスタマーサービスセンター）	月曜から金曜9時から17時（土日祝日・年末年始は休み）
SC社	03-6418-3973／incident@scala-com.jp（内部統制・情報セキュリティ推進本部）	平日9時から17時

5社のいずれかに問い合わせたことがある人は、当面、各社やSC社を装うメールやSMSのリンクを開かず、「委託元5社とSC社の問い合わせ窓口」の表にある連絡先や公式サイトのお知らせで確認するようにしてください。SC社は解析を進めて新しい事実がわかったら速やかに公表するとしています。