大和証券、ヤマハ、JR東日本など、10月上旬に「お詫びとお知らせ」を出した会社の多くは、自社のシステムには侵入されていません。侵害されたのは、問い合わせ窓口、会員コミュニティ、メール配信を預けていた先でした。自社は無事なのに、顧客の情報は漏れたかもしれない。その公表文に何が書かれているかを読み比べます。
10月2日から7日にかけて、3つの委託先が相次いで侵害され、その影響は委託元の公表として表に出た。FAQシステム「i-ask」を提供するスカラコミュニケーションズは、同じサーバーを使う最大5社、延べ最大71万3126件の問い合わせ情報。コミュニティ基盤「Commune」を運営するコミューンは、推計約30.7万人の会員情報。仮想サーバー基盤「IDCFクラウド」は、契約する495の企業・自治体に及んだ。委託元の多くは、自社システムへの不正アクセスは確認されていないと説明し、大和証券、オリックス生命、ヤマハなどは委託先管理の検証にも言及している。
ひとつの会社が受けた侵害が、いくつもの会社の「お詫びとお知らせ」になって届く。10月第1週に国内で起きたのは、そういう連鎖でした。大和証券、損保ジャパン、スズキ、LINEヤフー、JR東日本、JR九州の公表は、innovaTopiaでも個別の記事として伝えてきました。どれも、侵害されたのは自社ではなく、預け先のシステムです。
本稿では、3つの委託先ごとに委託元の公表を並べ直し、委託した側から見たとき、何が起き、何が問われているのかを読み解きます。
3つの委託先から広がった公表の流れ
| 時期 | 出来事 | 関連記事・出典 |
|---|---|---|
| 10月2日 20時30分頃〜3日 8時頃 | スカラコミュニケーションズの「i-ask」管理サイトに第三者がログインし、不正なプログラムを設置 | スカラコミュニケーションズ |
| 10月3日 | スカラが、影響の可能性がある利用企業に連絡 | 同上 |
| 10月5日 | 大和証券が公表 | 関連記事 |
| 10月5日 18時頃 | 「Commune」への不正アクセスが始まる | コミューン |
| 10月6日 | スカラが公表。シチズン時計も公表。21時頃、Communeが全コミュニティを停止 | スカラ、コミューン |
| 10月7日 3時40分頃 | 「IDCFクラウド」で障害が発生。同日、ランサムウェア攻撃と公表 | 関連記事 |
| 10月7日 | 損保ジャパン、東武鉄道がスカラ関連で公表 | 関連記事 |
| 10月8日 | オリックス生命がスカラ関連で公表。Commune利用組織の公表が始まる | オリックス生命 |
| 10月9日 | コミューンが公表。ヤマハ、スズキ、LINEヤフーなどが続く。JR東日本・ビューカード・JR九州がIDCF関連でメールアドレス漏えいの可能性を公表。国家サイバー統括室、経済産業省などが注意喚起 | 関連記事1、関連記事2、関連記事3 |
| 10月12日 | ヤマハ発動機がCommune関連で公表 | ヤマハ発動機 |
i-ask｜同じサーバーにいた最大5社
スカラコミュニケーションズの公表によると、10月2日夜から3日朝にかけて、第三者が「i-ask」の管理サイトにログインし、不正なプログラムを設置しました。そのうえで、同じサーバーに置かれていた利用企業のデータベースから、問い合わせ情報を取得した可能性があります。対象は最大5社、延べ最大71万3126件です。同じ人が何度も問い合わせた分を含む延べ件数で、人数ではありません。
委託元の公表は次のとおりです。件数の単位が会社ごとに違うため、足し合わせることはできません。
| 委託元 | 公表日 | 件数（各社の表記） | 情報の例 |
|---|---|---|---|
| 大和証券 | 10月5日 | 約22万件、うち個人情報を含むもの約11万人分 | 氏名、メールアドレス、口座番号など |
| シチズン時計 | 10月6日 | 約10万件 | 氏名、住所、電話番号、メールアドレス。問い合わせ欄に書かれていれば口座・カード情報も |
| 損保ジャパン | 10月7日 | 延べ約6万件 | 事業者向けドライブレコーダー「SMILING ROAD」の問い合わせ。氏名、勤務先など |
| オリックス生命 | 10月8日 | 約2万6500件（複数回の問い合わせを含む） | 氏名、生年月日、住所、証券番号、問い合わせ内容（医療情報等を含む） |
東武鉄道も10月7日に、お問い合わせフォームで使うサービスの提供元としてスカラから報告を受けたと公表しました。ただし内容は、東武に関する情報の閲覧や取得の形跡は確認されていないというものです。漏えいの公表とは性格が異なります。
この事案で目を引くのは、漏えいの可能性がある情報の中身を、委託元自身も決めきれないことです。オリックス生命は、お客さまから申告された医療情報等が含まれると明記しました。シチズン時計も、問い合わせ欄に口座やカードの情報が書かれていれば対象になりうると説明しています。問い合わせの受付窓口には、利用者が自由に書いた文章がそのまま貯まります。フォームの項目を絞っても、自由記述の欄がある限り、何が預けられているかは利用者しだいです。
大和証券は委託先管理のあり方を検証するとしており、オリックス生命も公表文の中で、スカラの原因調査と再発防止策を確認したうえで、自社の委託先管理も検証すると書いています。
Commune｜招待リンクから管理者へ、広がったコミュニティの公表
コミューンの「Commune」は、企業がファンや顧客、社員とのコミュニティを運営するための基盤です。同社の公表によると、10月5日18時頃から6日21時頃まで、さらに7日の13時17分から14時36分まで、会員情報が外部に漏えいしました。
手口は、非公開コミュニティの招待リンクを不正に手に入れて一般会員として登録し、管理者になりすまして会員情報を閲覧・取得するというものです。漏えいした会員は推計約30.7万人。このうちメールアドレスを含む情報が約12.6万人分（同社従業員とテスト用デモアカウント約4.2万人を含む）、表示名や自己紹介、非公開グループの所属などメールアドレスを含まない情報が約18.1万人分です。144人は、本人の操作によらずパスワードを仮のものに変えられました。パスワードそのものの漏えいは確認されていません。
コミューンは、原因は自社システムの不備であり、契約企業の設定や運用に起因するものではないと明記しています。契約企業側のコミュニティの設定や運用が直接の原因ではなかったことを、委託先自身が公表文の中で示した形です。
この基盤を使っていた組織からも、公表が相次いでいます。ヤマハ、パナソニック、Sansan、スズキ、LINEヤフー、カルビー、湖池屋、森永乳業、青森県などです。10月12日にはヤマハ発動機が、電動アシスト自転車のコミュニティ「YAMAHA PAS Life」の登録者約1600名分について公表しました。
なお、ヤマハ（同社が運営するSNS「ヤマハネットワークエンジニア会」）とヤマハ発動機は、どちらも約1600名と公表していますが、別の会社の、別のサービスの数字です。
報告の分担にも、この事案の構造が表れています。コミューンは電気通信事業者として総務省に報告し、個人情報保護委員会への報告については、契約企業が行うために必要な情報を提供するとしています。個人情報保護法では、個人データの取扱いを委託された事業者も漏えい等の報告義務を負いますが、委託元に必要な事項を通知した場合は委託先の報告義務が免除され、通知を受けた委託元が報告する形になります（第26条第1項ただし書）。会員への説明や再発防止の検討で、コミュニティを運営する委託元の対応が問われるのはこのためです。ヤマハも公表文で、委託先管理のあり方を検証し、管理強化策と実施時期を決めると書いています。
IDCFクラウド｜止まった会社と、漏えいを公表した会社
IDCフロンティアの「IDCFクラウド」は、企業や自治体が仮想サーバーを動かすための基盤です。10月7日の3時40分頃に障害が発生し、同社はランサムウェア攻撃によるものと公表しました（関連記事）。契約する495の企業・自治体に影響が及び、第3報では一部のゾーンのデータは取り出しや復元が難しい見通しだとしています。10月9日の第4報では、親会社のソフトバンクと連携した対応体制と、外部のセキュリティ会社による調査が示されました。
この基盤の上で動いていたサービスについても、公表が相次ぎました。その多くは、Peach Aviationの旅程メール、高島屋のメールマガジン、ポピンズの保育予約、ソリトンシステムズのリモートアクセス、シックス・アパートの「Movable Type クラウド版」など、サービスが止まったという公表です。
一方で、JR東日本、ビューカード、JR九州は、会員のメールアドレスが漏えいした可能性を公表しました。共通するのは、会員向けのメール配信に使っていた外部のサービスが、IDCFクラウド上で動いていたことです。日本酒類販売も、メール配信サービス「future Scenario Cast」を通じて影響を受けました。
同じひとつの障害が、ある会社には「止まった」、別の会社には「漏れたかもしれない」という形で届いています。分かれ目は、その基盤の上に何を預けていたかです。
日本酒類販売の例は、委託の層の深さも示しています。同社が使っていたのはフューチャーショップのメール配信サービスで、その基盤がIDCFクラウドでした。委託元から見て二段下にある基盤の侵害が、自社の顧客への連絡として返ってきたことになります。
委託元の公表文に並ぶ2つの文
3つの事案の公表文を読み比べると、委託元の多くが書いている文と、一部の委託元がさらに踏み込んで書いている文があります。
ひとつは、自社のシステムへの不正アクセスは確認されていないという文です。オリックス生命、東武鉄道、ヤマハ、ヤマハ発動機などが、ほぼ同じ言い回しを使っています。もうひとつは、委託先管理を検証するという文で、大和証券、オリックス生命、ヤマハが書いています。
2つは矛盾しません。最初の文はシステムの話で、2つ目は預けたデータの話だからです。個人情報保護法は、個人データの取扱いを委託する事業者に、委託先を必要かつ適切に監督する責任を課しています（第25条）。個人情報保護委員会が10月7日に改訂した注意喚起「WARNING」は、対策が不十分な場合、安全管理措置、従業者の監督とあわせて、委託先の監督の違反と判断される可能性があると明記しました。
同じ資料の事例8は、今回の事案を読むうえで近い論点を含んでいます。クラウドサービスの提供事業者が不正アクセスを受け、多くの顧客企業の個人データに漏えいのおそれが生じた事例で、原因のひとつに、業務の委託ではないクラウドの利用は個人データの取扱いの委託にあたらないと考え、監督をしていなかったことが挙げられています。対策としては、利用規約や安全性評価の資料で選ぶこと、そして提供事業者がセキュリティレポートなどを積極的に公開することが望ましいとしています。ただし、クラウドやSaaSの利用が個人データの取扱いの委託にあたるかは、サービスの内容と、提供事業者がデータをどう取り扱うかによって分かれます。
国が求める「委託先と共に管理する」
10月9日、国家サイバー統括室は事業者向けの注意喚起を出し、サプライチェーンを通じた侵害への対策に1章を割きました。求めているのは、委託先のセキュリティ状況を契約時だけでなく継続的に確かめること、再委託先まで把握すること、契約に漏えい時の報告義務や連携体制を書き込むこと、委託先に渡す情報を必要最小限にし、業務が終われば削除すること、などです。その前提として掲げた言葉が、「委託先企業と共に管理する」という認識でした。
経済産業省も同日、自社だけでなくサプライチェーン全体でセキュリティを管理するという認識のもとで、対策を徹底するよう求めています。同省は、サプライチェーンを構成する企業の対策状況を共通の基準で評価し、見えるようにする「SCS評価制度」について、2027年3月の開始に向けて準備を進めています。委託元と委託先の双方の負担を軽くしながら、サプライチェーン全体の水準を底上げすることが狙いです。各機関の注意喚起については、innovaTopiaでもまとめて伝えました。
今回、スカラは侵入の時間帯を示し、コミューンは漏えいの時間帯を分単位まで示したうえで、攻撃の手口と、契約企業の設定や運用に起因しないことまで公表しました。委託元は委託先からの報告を受けて自社の公表を組み立て、大和証券、オリックス生命、ヤマハなどは委託先管理の見直しにも言及しています。侵害は防げなかったとしても、何が起きたかを委託先と委託元が分担して説明する作法は、この1週間で形になりつつあります。2027年3月の開始に向けて準備が進む共通の物差しは、その作法を、事故の後だけでなく契約前の確認にも生かす土台になりえます。
【関連記事】
【解説】焼肉きんぐ・大和証券など不正アクセス11件、10月2〜5日の個人情報漏えいを整理
IDCFクラウドにランサムウェア攻撃、495の企業・自治体に影響 茨城県サイトも閲覧できず
【解説】旭化成・損保ジャパンなど不正アクセス5件、10月6〜7日の公表を整理
JR東日本とビューカード、メールアドレス漏えいの可能性 IDCFへの不正アクセスで
【解説】IPA・NCOなどが不正アクセスで一斉に注意喚起、事業者に3つの点検を要請
【解説】手間いらず・バイトル・JR九州など不正アクセス14件、10月8〜10日の公表を整理
【編集部後記】
コミューンの公表文には、漏えいとは別に、もうひとつ小さな記述があります。攻撃の影響を取り除くため、データを10月6日18時の状態に巻き戻したこと。投稿は戻す準備を進めているものの、ダイレクトメッセージや「いいね」、新規登録は復元の対象外になる見込みだということです。
漏えいの件数は数えられます。けれど、コミュニティで交わされたはずの小さなやりとりが消えたことは、どの集計にも載りません。委託先に預けていたのは、情報だけではなかったのかもしれません。
【用語解説】
FAQシステム
よくある質問の公開と、利用者からの問い合わせの受付・管理を一体で行うシステム。クラウドで提供されるものが多く、問い合わせの文面がそのまま蓄積される。
SaaS（Software as a Service）
ソフトウェアを購入して自社で動かすのではなく、事業者が運用するものをインターネット経由で利用する形態のサービス。
ランサムウェア
感染したコンピューターのデータを暗号化して使えなくし、復旧と引き換えに金銭を要求する不正プログラム。近年は、データを盗み出したうえで公開すると脅す手口も多い。
委託先の監督（個人情報保護法第25条）
個人データの取扱いの全部または一部を委託する事業者に、委託先で安全管理が図られるよう、必要かつ適切な監督を行うことを求める規定。
漏えい等の報告（個人情報保護法第26条）
個人の権利利益を害するおそれが大きい漏えいなどが起きたときに、個人情報保護委員会への報告と本人への通知を事業者に義務づける規定。取扱いを委託された事業者は、委託元に通知すれば自らの報告が免除される。
サプライチェーンを通じた侵害
攻撃者が、標的の企業そのものではなく、取引先や委託先などの比較的防御の弱い組織を足がかりに侵入し、標的の情報や業務に被害を及ぼす攻撃。
SCS評価制度
経済産業省が準備を進める「サプライチェーン強化に向けたセキュリティ対策評価制度」。サプライチェーンを構成する企業の対策状況を共通の基準で評価・可視化する。2027年3月の開始が予定されている。
【参考リンク】
スカラコミュニケーションズ「FAQシステム「i-ask」への不正アクセスによる個人情報漏えいに関するお詫びとお知らせ」（外部）
FAQシステム「i-ask」の管理サイトへの不正ログインと、同じサーバーを使う最大5社・延べ最大71万3126件の漏えいの可能性を公表
大和証券「外部委託先への不正アクセスによるお客様情報の漏洩の可能性について」（外部）
問い合わせ管理の委託先への不正アクセスで約11万名分の情報に漏洩の可能性。既存の委託先の点検と委託先管理のあり方の検証を表明
東武鉄道「委託先事業者への不正アクセスについて（お知らせ）」（外部）
お問い合わせフォームのサービス提供元から報告を受けたが、東武に関する情報の閲覧・取得の形跡は確認されていないとしたお知らせ
オリックス生命「当社の委託先における個人情報漏えいの可能性について」（外部）
約2万6500件が対象で、申告された医療情報等を含む問い合わせ内容も含まれる。委託先の原因調査を確認し、委託先管理も検証すると明記
コミューン「【重要】当社サービス「Commune」、「Commune for Work」への不正アクセスによる個人情報の漏えいに関するお詫びとお知らせ」（外部）
推計約30.7万人の会員情報が漏えい。招待リンクの悪用と管理者へのなりすましが手口で、契約企業の設定や運用に起因しないと明記
ヤマハ「外部委託先への不正アクセスによるお客様情報漏えいについて」（外部）
SNS「ヤマハネットワークエンジニア会」の約1600名分が漏えい。委託先管理のあり方を検証し、管理強化策と実施時期を決めると表明
ヤマハ発動機「外部委託先への不正アクセスによるお客様情報漏えいの可能性について」（外部）
電動アシスト自転車のコミュニティ「YAMAHA PAS Life」登録者約1600名分について、コミューン社への不正アクセスの影響を公表
IDCフロンティア「【第4報】不正アクセスによる障害への対応体制について」（外部）
IDCFクラウドの障害を受けた対応体制の第4報。親会社のソフトバンクと連携した体制と、外部のセキュリティ会社による調査を説明している
国家サイバー統括室「不正アクセスによる漏えい等の事案を踏まえた対応について」（外部）
ウェブシステム、サプライチェーン、データ管理の3分野で対策を求めた10月9日の注意喚起。「委託先企業と共に管理する」認識を掲げた
経済産業省「不正アクセスによる情報漏えい等の事案を踏まえた注意喚起及び情報提供に係る協力依頼」（外部）
NCOなどの注意喚起を参照し、サプライチェーン全体での管理を求めた文書。2027年3月の開始に向け準備中のSCS評価制度にも触れている
個人情報保護委員会「WARNING 不正アクセスによる個人データ漏えい防止のための注意喚起」（外部）
10月7日に改訂された注意喚起資料。9つの事例を挙げ、委託先の監督（法第25条）などの違反と判断されうる場合と対策例を示している
e-Gov法令検索「個人情報の保護に関する法律」（外部）
個人情報保護法の全文。第25条（委託先の監督）と、委託先が委託元に通知した場合の扱いを定めた第26条（漏えい等の報告等）を収録
【参考記事】
大和証券、シチズン、損保ジャパン、東武鉄道、オリックス生命――5社に影響した「同じ委託先」への不正アクセス 各社はどう動いた？（外部）
＠IT。スカラの「i-ask」への不正アクセスで影響を公表した5社について、件数、情報の種類、各社の対応を並べて比較した記事
コミュニティサービス「Commune」「Commune for Work」に不正アクセス、推計約30万人の個人情報が漏えい（外部）
INTERNET Watch。Communeへの不正アクセスについて、推計約30.7万人の内訳、漏えいの時間帯、影響のなかったサービスを整理
IDCFクラウドへのランサムウェア攻撃についてまとめてみた（外部）
piyolog。495の企業・自治体に影響したIDCFクラウドの障害について、IDCフロンティアと利用組織の公表を時系列で追った記事
国内で相次ぐ不正アクセスに対する注意喚起についてまとめてみた（外部）
piyolog。10月7〜9日に出た9つの注意喚起について、発出元、対象、委託先やサプライチェーンに触れた内容を一覧にした記事
