委託先のシステムに不正アクセス
マツダは10月14日、コミュニティサービス「CLUB MAZDA COMMUNITY」の運営を委託する事業者で不正アクセスが発生し、会員や運営担当の従業員の情報が外部から閲覧・取得された可能性があると発表しました。対象は最大4103人分です。
運営事業者のコミューンからマツダに報告があったのは10月7日です。同社が提供するコミュニティプラットフォーム「Commune」のシステムの不備を第三者に悪用されたとされ、委託先はアクセス経路を遮断し、必要なセキュリティ対策を実施しました。
影響を受けた可能性があるのは、CLUB MAZDA COMMUNITYの会員と、サイト運営を担当するマツダ従業員です。サイトは現在停止され、マツダは委託先とともに調査を進めています。
対象となる可能性がある情報
情報には会員ID、アカウント名、メールアドレス、性別、都道府県単位の居住地が含まれます。購買・利用状況の履歴や、趣味・嗜好、アンケート回答も対象となる可能性があります。
クレジットカード情報は含まれていません。不正アクセスを受けたCommuneのサーバーはマツダの自社システムとは別で、ネットワーク上でも直接接続されていないとされています。
委託元と委託先に求められる対応
個人データの取り扱いを委託する事業者には、委託先で必要な安全管理措置が講じられるよう適切に監督することが求められます。委託先には、委託元が自ら講じる安全管理措置と同等の措置を取らせることが基本です。
委託先で漏えいが起きた場合も、委託元が最終的な責任を負います。個人情報保護委員会などへの報告は、原則として委託元が行うよう努めるとされ、委託先が報告内容を作成したり、両社が連名で報告したりすることもできます。
漏えい等のうち規則で定める事態では、個人情報保護委員会への報告と本人への通知が義務となります。2024年の改正では、報告対象に、個人データとして扱う予定の個人情報に関する事態も加わりました。マツダは個人情報保護委員会への報告など、関係法令に基づく対応を進めています。
不審な連絡への注意
標的型攻撃メールは、特定の個人や組織を狙い、取引先や関係者を装ってリンクや添付ファイルを開かせる手口です。相手の業務や取引関係に合わせて内容を作り込むため、通常の連絡との違いが分かりにくい場合があります。
送信元のアドレスやドメインが、署名に記載された組織・担当者と一致するかどうかは、不審な連絡を見分ける手掛かりの一つです。メールに表示されたURLと実際のリンク先が異なることもあるため、リンク先を確かめる方法があります。添付ファイルは、名前だけでなく拡張子にも注意が必要です。
マツダは、本件に便乗したフィッシングメールや不審な連絡への注意を呼びかけています。不審なメールやSMSを受け取った場合、URLへのアクセス、添付ファイルの開封、個人情報やパスワードの入力をしないよう求めています。
