ムーンスターは、サーバーへの不正アクセスにより顧客情報が流出したと明らかにしました。過去の注文情報を含む同社を装ったメールが顧客に届いており、同社は第三者が情報を窃取したと判断しています。
不正アクセスからなりすましメールの確認まで
ムーンスターは2026年3月26日、一部サーバーへの不正アクセスを公表し、その後も社内調査を続けていました。個人情報が流出した可能性が高い期間は、同年5月14日から19日にかけてです。
同年9月20日前後、顧客からの問い合わせをきっかけに、ムーンスターを装うメールが送られていることが分かりました。メールには、第三者が通常は知り得ない過去の注文情報が含まれていたため、同社は顧客情報が窃取されたと判断しました。
注文内容を知る相手からの連絡は、実際の取引に関係するものに見える可能性があります。
注文情報が使われるなりすましの手口
フィッシングは、実在する企業などを装い、偽サイトへのリンクや悪意のある添付ファイルを使って情報を盗もうとする手口です。メールやSMSなどで届き、IDやパスワード、クレジットカード情報を狙う場合があります。
分析対象には、銀行やカード会社などのブランドを装うメールがあり、銀行・カード関連の認証情報を狙うテーマも多く含まれていました。対象は筆者個人のメールアドレスに届いたメールで、特定の一例に基づく分析です。
送信元の表示は偽装できます。調査対象のフィッシングメールには、SPF認証に合格したものもありました。SPFは送信元ドメインと送信サーバーのIPアドレスを使って正規の送信元かを確認する仕組みですが、認証だけでフィッシングメールを見分けられるとは限りません。
不審な連絡に備える方法
別件の情報漏えいを受け、株式会社Eストアーは、再決済や返金、本人確認を理由にカード情報などを求める不審な連絡に応じないよう案内しました。パスワードや認証コードの入力を求められた場合も応じず、不審なリンクや添付ファイルを開かないよう呼びかけています。
Eストアーは同社の案件について、漏えいした情報だけで直ちに金銭被害が生じるものではなく、現時点で具体的な金銭被害は確認されていないと説明しました。また、その案件では、漏えいを理由に直ちにクレジットカードを停止・再発行する必要はないと案内しています。
個人データの漏えい時に求められる対応
個人情報保護委員会によると、個人データの漏えいなどで個人の権利利益を害するおそれがある場合、事業者は同委員会への報告と本人への通知を行う必要があります。対象となる事態には、要配慮個人情報を含む漏えい、財産的被害のおそれがある漏えい、不正目的による漏えい、1,000人を超える漏えいがあります。
事業者は速やかに報告し、個人情報保護委員会は概ね3〜5日以内を目安として案内しています。本人への通知も事態に応じて速やかに行い、漏えいの概要や個人データの項目、原因などを分かりやすく伝えるとしています。
本人への連絡が難しい場合、事業者はウェブサイトでの公表や問い合わせ窓口の設置を代替措置として講じることができます。
