TopicBase
スキマバイトアプリ「シェアフル」の社内管理システムが11月4日に不正アクセスを受け、最大約750万の個人アカウントに含まれる情報が外部へ流出した可能性があります。対象には氏名や連絡先に加え、給与振込用の銀行口座情報、緊急連絡先、顔写真の保存先URLが含まれます。シェアフル株式会社は11月9日に事態を公表し、対象者には電子メールなどで順次個別に連絡する予定です。
不正アクセス経路を遮断し、サービスは通常どおり提供
不正アクセスが発生したのは11月4日23時30分ごろです。翌5日9時45分ごろに検知し、同日14時までに緊急のアクセス遮断措置を完了しました。
11月6日から8日にかけて被害範囲の特定と二次被害防止策を進め、不正アクセス経路の遮断後も通常どおりサービスを提供しています。シェアフルは影響範囲を特定し、さらなる情報流出の可能性は生じていないとしています。
警察署には通報済みで、個人情報保護委員会への届け出・報告手続きを進めています。今後は外部の専門調査機関と連携して原因究明などを続け、アクセス管理とシステム監視体制を強化する方針です。
銀行口座や緊急連絡先も対象、給与・本人確認書類画像は含まず
流出した可能性がある個人情報は、氏名・氏名カナ、電話番号、メールアドレス、住所、生年月日、給与振込用銀行口座情報です。口座の暗証番号やパスワードは含まれていません。
このほか、顔写真の保存先URL、緊急連絡先として登録した相手とユーザーとの関係や電話番号、在留資格に関する情報も対象です。登録日、就業回数、希望情報などのアカウント属性情報も含まれます。
求人企業に関する情報では、会社名、電話番号、住所、郵便番号のほか、担当者の氏名、部署名・役職、メールアドレス、電話番号、営業管理データの一部が流出した可能性があります。
一方、給与・ポイント情報、契約情報や就業実績などの労務管理データ、運転免許証などの本人確認書類画像は、不正アクセスを受けたデータに含まれていません。給与金額の閲覧、即払いを含む給与支払い手続き、ポイント利用に関する不正な操作・閲覧も行われていません。シェアフルのシステムでは、マイナンバーとクレジットカード情報を取得・保持していません。
顔写真は別サーバーで管理、保存先URLも流出の可能性
顔写真データは、ほかの個人情報とは別のサーバーで管理されています。流出した可能性がある情報にはその保存先URLが含まれ、写真を保管するサーバーへのアクセス遮断措置も完了しています。
保存先URLから画像にアクセスできるかどうかは、保存サービス側の権限設定に関わります。例えば、データを保存するサービス「Amazon S3」では、利用者や保存先に設定するポリシーによって、誰にどのデータの読み取りを許可するかを制御できます。
また、特定のデータへの操作を期限付きで許可する「署名付きURL」は、有効期限内であればURLを知る人が利用できます。発行元の認証情報に与えられた権限と有効期限がアクセスを制限し、発行元の認証情報を無効化すると、その情報を使ったURLも無効になります。
不審なメールやSMSへの警戒を呼びかけ
シェアフルは、流出した可能性がある連絡先に、同社や関係機関を装った電子メール、SMS、電話が届く可能性があると注意を促しています。シェアフルは電話やメールなどで銀行口座の暗証番号やパスワードを尋ねることはないとしています。
こうしたなりすましの手口として、金融機関などを装うメールから偽サイトへ誘導し、氏名や銀行口座番号などを入力させる「フィッシング」があります。警察官や銀行員を装って電話で暗証番号を聞き出す手口もあります。
SMSで偽サイトへ誘導するフィッシングは「スミッシング」と呼ばれます。送信元情報を偽装し、正規のSMSと同じメッセージのやり取りの中に詐欺メッセージを紛れ込ませる手口もあります。
シェアフルは、身に覚えのない連絡に含まれるURLへのアクセスや添付ファイルの開封、暗証番号・個人情報の入力を控えるよう求めています。個人ユーザーと求人企業向けには専用の問い合わせフォームを設けています。
