ファンケルとアテニアのECサイトが不正アクセスを受け、会員情報が計83万件超、対象者数で計78万5496人分漏えいしました。両社は原因となった機能を停止し、対象者へ順次連絡しています。
2社で計83万件超の会員情報が漏えい
漏えいした情報は、ファンケルが39万3785件、アテニアが44万1162件です。対象となる会員数はそれぞれ36万8184人、41万7312人でした。
情報にはメールアドレス、氏名、住所、電話番号、生年月日、性別、お客様番号が含まれます。ポイントや会員ステージ、メールマガジンの配信希望、店舗での購入の有無などの登録情報も対象です。
一部の会員が登録したサブメールアドレスと、そのパスワードも漏えいしました。パスワードはハッシュ化された状態で、メインパスワードやクレジットカードなどの決済情報は対象外です。
10月3日から10日まで不正アクセス
両社は10月15日の内部調査で、同月3日から10日までECサイトが不正アクセスを受けていたことを把握しました。調査の結果、会員情報の一部が外部に漏えいしたと確認しています。
両社は判明当日に緊急対策本部を設置し、被害の拡大を防ぐため原因となった機能を特定して停止しました。10月16日には個人情報保護委員会と警察へ報告・相談しています。
現時点で、本件に起因すると考えられる不正利用や二次被害は確認されていません。両社は対象者に登録済みのメールアドレス宛てで順次連絡し、新たに公表すべき事実が判明した場合は知らせるとしています。
個人情報を使った偽メールやSMSに注意
フィッシング詐欺では、偽のウェブページへ誘導し、IDやパスワード、カード番号などを入力させる手口があります。
SMSから不正なアプリのインストールへ誘導する手口もあります。ドコモは、SMSの送信元情報や本文をもとにフィッシングSMSを判定する仕組みを案内しています。
百十四銀行は、カード情報や個人情報をメールやSNSで尋ねることはないと注意を促しています。漏えいを知らせる連絡を装い、情報入力やカード停止を急がせる文面にも警戒を呼びかけています。
両社は不審な連絡への警戒を呼びかけ
ファンケルとアテニアは、不審なメール、SMS、電話に注意し、心当たりのないリンクや添付ファイルを開かないよう案内しています。両社からパスワードやクレジットカード情報を尋ねることはないとしています。
OWASPは、パスワードの保管に平文や単純なエンコード、計算の速いハッシュ関数を使っても十分に保護できないと説明しています。bcrypt、scrypt、Argon2など、パスワード向けの計算負荷が高いハッシュ方式を推奨しています。
サブメールアドレスのパスワードがハッシュ化されていたことを両社は公表しています。両社は定期的なパスワード更新も呼びかけています。
