相次ぐ大規模な情報漏えい、EC事業者は何に備えるべきか

もし自社のECサイトや会員サービスで「情報漏えい」が発生したら、すぐに対応できますか？

直近でも、人々の生活に密着した複数の大手サービスにおいて、大規模な情報漏えいが相次いで公表されています。

「JPCERT/CC」も10月8日、不正アクセスによる個人情報等の漏えい被害が相次いでいるとして注意喚起を行いました。

決して、一部の企業だけの問題とは言い切れません。EC事業者に求められるのは、不正アクセスを「防ぐ」だけでなく、どの個人情報を保有し、どう管理するのか。万が一の際、どう顧客へ対応するのかまで備えておくことです。

今回は、直近の3つの事例を手がかりに、「個人情報管理」「ECセキュリティ」「緊急時のCS体制」の視点から、EC・会員サービス事業者に必要な備えを考えます。

※JPCERT/CC：国内のサイバーセキュリティに関する情報収集やインシデント対応支援、注意喚起などを行う組織

参考：直近で相次いでいる国内組織における不正アクセスに関する注意喚起｜JPCERT/CC

大規模な情報漏えい、3つの事例から見えてくること

直近の情報漏えいでは、被害件数だけでなく、流出した情報や不正アクセスの経路もさまざまです。

事例１：モビリティ関連サービス
アカウント情報を管理するWebシステムへの不正アクセスにより、数百万人規模の情報が漏えい。現会員に加えて退会者や入会未完了者も対象となり、氏名、住所、生年月日、電話番号、メールアドレスなどのほか、対象者によって運転免許情報や本人確認書類情報も含まれていました。さらに、一部対象者については本人確認書類の画像データ等も漏えいしたとされています。

事例２：予約関連サービス
データシステムへの不正アクセスにより、1,000万件以上の氏名・生年月日・メールアドレス・電話番号・住所などが流出。この半分近くのデータには、ハッシュ化されたログインパスワードが含まれていました。また、別経路の不正アクセスでは返金先の口座情報なども流出または流出のおそれがあると公表されています。

事例３：小売関連サービス
個人情報 ID・アプリ関連サービスへの不正アクセスによって、数百万人規模の個人情報が漏えい。メールアドレス、氏名のほか、登録状況によって電話番号や住所などが対象となりました。企業側は、不審なアクセス元のブロックや対象となる顧客への個別案内などを実施しています。

上の3事例はサービス内容も被害の状況も異なるため、単純に比較することはできません。しかしEC・会員サービス事業者にとって、大量の個人情報を保有すること、不正アクセスの経路が一つとは限らないこと、漏えい後には顧客対応も必要になることを改めて考える機会になります。

情報漏えいは「件数」よりも「何が漏れたか」が重要

情報漏えいでは「何百万件」という規模に注目しがちです。しかし同時に確認したいのが、どのような情報が流出したのかという点です。

今回の事例でも、氏名やメールアドレスだけでなく、本人確認書類、住所、電話番号、認証情報、口座情報など、さまざまな顧客情報が対象となっています。

ECサイトでも、決済情報だけを守ればよいわけではありません。会員情報、配送先、購入履歴、ログイン情報など、「自社は何を持っているのか」を把握し、それぞれの情報に応じた管理を考えることが重要です。

情報漏えい対策の第一歩は、「何件持っているか」だけでなく、「何を持っているか」を把握すること。 ここからスタートする必要があります。

いま改めて点検したい、個人データの「持ち方」

もう一つ注目したいのが、取得した個人情報をどのように管理しているかです。

カーシェア大手の事例では、現会員だけでなく退会済みの利用者や入会を完了していない人も対象となりました。

個人情報保護委員会のガイドラインでは、「個人データの管理」として、データ内容の正確性確保、安全管理措置、従業者や委託先の監督などが整理されています。また、安全管理措置についても組織的、人的、物理的、技術的な観点などが示されています。

さらにJPCERT/CCは、一般利用者向けアプリだけでなく、BIツールや従業員向け管理システムなど、管理・運用側で不特定多数の利用者からのアクセスを想定していないシステムが被害に遭い、内部に保存された情報が漏えいするケースにも注意を促しています。

個人情報を取得する場面だけではなく、「何を持っているのか」「どこにあるのか」「どう管理するのか」まで含めて捉えることが重要になっています。

参考：個人情報の保護に関する法律についてのガイドライン（通則編）｜個人情報保護委員会

ECセキュリティは「侵入防止」と「被害抑制」の両面から

今回取り上げた大手旅行予約サイトの事案では、管理機能への不正アクセス、業務管理システムの脆弱性悪用、予約完了ページの問題という、異なる3つの経路が公表されています。

また、JPCERT/CCも直近の不正アクセスについて、既知の脆弱性を探索する攻撃やAPI経由での不正操作など、複数の攻撃手法を確認しているとしています。一方、すべての事案で同一の攻撃手法が使用されているわけではないことも明記しています。

だからこそ、一つの対策だけでなく、ECサイトや会員基盤、アプリ、管理システムなど、顧客情報に関わる仕組みを広く捉えて点検することが重要です。

経済産業省とIPAでは「ECサイト構築・運用セキュリティガイドライン」を公開し、経営者が認識すべき事項と、責任者・担当者が検討すべき具体的なセキュリティ対策を整理しています。

「侵入を防ぐ」だけではなく、「もし侵入されても被害を広げにくくする」。 この両面からセキュリティを考える必要があります。

参考：「ECサイト構築・運用セキュリティガイドライン」を公開しました｜経済産業省

情報漏えい発生時に問われる「緊急CS」の対応力

情報漏えい対策では、防御と同時に、発生してしまった後への備えも欠かせません。

大手コンビニチェーンの事案では、不審なアクセス元のブロックや一部機能の停止に加え、対象となる顧客への個別案内、関係機関等への連絡・報告などが行われています。

一定の個人データ漏えい等については、個人情報保護委員会への報告が必要です。同委員会は、不正アクセスによる漏えい等や1,000人を超える漏えい等を報告が必要となる事態として示し、具体的な対応情報も公開しています。

加えて企業には、対象者への案内や問い合わせ対応も生じます。大規模な事案で問い合わせが集中すれば、通常時とは異なる対応体制が必要になる可能性も考えておかなければなりません。

だからこそ、情報漏えい対策をセキュリティ部門だけの問題とせず、顧客への告知、問い合わせ対応などを含む危機管理として考えておくことが重要です。

参考：漏えい等の対応とお役立ち資料｜個人情報保護委員会

まとめ・情報漏えい対策は「守る」だけでは終わらない

今回取り上げた3つの事例からも、情報漏えいのリスクは「件数」だけでは測れないことが分かります。流出する情報の種類も、不正アクセスの経路も、発生後に求められる対応もさまざまです。

JPCERT/CCが国内で相次ぐ不正アクセスについて注意喚起を行っているいま、改めて自社の対策を次の4つの視点から確認してみましょう。

●情報を管理する
どのような個人情報を保有し、どこで管理しているのかを把握する

●侵入を防ぐ
ECサイトや会員基盤、関連システムのセキュリティ対策を継続的に点検する

●被害を広げない
アクセス権限やデータの管理状況などを点検し、万が一の影響を抑える

●有事に迅速に対応する
顧客への案内や問い合わせ対応を含め、緊急時のCS体制を準備しておく

こうした対策を、限られたリソースの中ですべて自社だけで行うのは容易ではありません。日々のEC運用と並行してセキュリティ対策を継続し、さらに万が一の際には迅速な顧客対応も求められます。

平時の安全な運用から有事の対応までを見据え、必要に応じて専門的な知見や外部の支援を活用しながら、無理なく継続できる体制を整えておくことが大切です。

トランスコスモスが提供するサービス

ECサイトや会員サービスにおける情報漏えいへの備えでは、セキュリティ対策だけでなく、顧客情報を扱うEC・会員基盤の運用、さらにインシデント発生後の顧客対応まで含めて考える必要があります。

トランスコスモスでは、EC事業を幅広く支援するサービスを提供しています。今回の記事テーマに関連しては、次のような支援が考えられます。

●EC・会員基盤の構築・運用支援
個人情報を取り扱うECサイトや会員サービスの構築・運用を支援

●セキュリティを考慮したEC運用
ECサイトや会員基盤の安定した運用を支援

●カスタマーサポート
コンタクトセンターなどを通じ、顧客からの問い合わせや各種顧客接点を支援

●緊急時を見据えた顧客対応支援
情報漏えいなどによって問い合わせが集中する状況を想定した顧客案内や問い合わせ対応を支援

情報漏えい対策は、一つの部門だけで完結するものではありません。ECの構築・運用から顧客対応までを横断し、平時と有事の双方を見据えておくことが重要です。

「自社のECサイトや会員基盤の情報管理を見直したい」「情報漏えい発生時の顧客対応まで含めて備えたい」といった課題がありましたら、ぜひトランスコスモスへご相談ください。EC事業の運用状況や課題に応じて、必要な支援をご提案します。