顧客情報約526万件を不正に持ち出し
ヤマト運輸の「クロネコ代金後払いサービス」で不正アクセスがあり、利用者の氏名、住所、電話番号、商品明細など約526万件の情報が不正に持ち出されました。メールアドレスを含む情報は約49万件です。対象期間は2018年10月1日から2026年9月28日までで、ヤマト運輸は10月16日に調査結果を公表しました。
このほか、利用者の届け先情報約5万件と加盟店情報約4,100件も対象です。届け先情報には氏名、住所、電話番号、送り状番号が含まれ、加盟店情報には加盟店名と社内管理用の加盟店コードが含まれます。
クレジットカード情報とパスワード情報は、漏えいした情報に含まれていません。10月2日の第2報で漏えいの可能性があるとされた請求金額、債権残高、社員の氏名についても、不正な持ち出しは確認されませんでした。
注文後に商品を受け取り、後日支払う仕組み
このサービスは、通販サイトなどで注文した商品を先に受け取り、後日、払込票で代金を支払う後払い方式です。支払い先は全国の主要なコンビニや郵便局などで、購入店によって利用できる支払い方法が異なる場合があります。
ヤマト運輸は代金を購入店に立て替えて支払い、利用者に請求します。払込票の発行から14日以内に支払う仕組みで、支払期限を過ぎても確認できない場合は、保証委託先のNクレジットファイナンスが代理で請求することがあります。
今回持ち出された情報には、氏名や連絡先に加え、商品名、数量、単価などの商品明細や、申込番号、受注日、与信番号といった社内管理用情報も含まれます。サービスの請求・支払いに関係する情報の一部が対象となりましたが、請求金額や債権残高は不正に持ち出されていません。
二次被害は未確認、対象者へ順次連絡
ヤマト運輸は、現時点で持ち出された情報の不正利用による二次被害は確認されていないとしています。対象者には順次個別に連絡し、登録情報の変更などで連絡が難しい人には、今回の公表をもって通知とする方針です。
不審なメールやSMSを受け取った場合、ヤマト運輸は本文中のURLにアクセスしたり、添付ファイルを開いたりせず、メール自体を削除するよう案内しています。不審な電話や郵便物を受けた際も、慎重に対応するよう求めています。
フィッシング対策協議会は、メールやSMS内のリンクではなく、普段使っている公式アプリやブックマークからサービスへアクセスする方法を挙げています。実在する組織を装って個人情報を盗み取るフィッシングでは、偽サイトへ誘導する手口が使われます。不審な連絡から個人情報などの入力を求められた場合は、入力前に立ち止まり、連絡元の組織の窓口で事実を確認するよう同協議会は呼びかけています。
サービスは10月9日に再開、対策を継続
不正アクセスは9月28日に確認され、ヤマト運輸は翌29日に第1報を公表しました。確認後、外部からのアクセスを制限するなどの対策を講じ、個人情報保護委員会への報告も行っています。
サービスは10月9日に再開しました。調査にはセキュリティ専門機関が協力しました。ヤマト運輸は、実施済みの対策に加え、外部専門機関の助言を得ながら中長期的な対策を進め、情報セキュリティ体制を強化する方針です。
ヤマト運輸は利用者全体にも、同社などを装う不審なメール、電話、SMSへの注意を呼びかけています。
