「銀のさら」「釜寅」「すし上等」を運営するライドオンエクスプレスホールディングスは、公式サイトと公式アプリの登録者情報を保管していたサーバーがサイバー攻撃を受け、最大約650万件の個人情報が漏えいした可能性があると公表しました。公式サイトとアプリからの注文は停止しており、再開の見通しは立っていません。
対象は公式サイト・アプリの登録情報
対象となる可能性があるのは、過去に公式サイトまたは公式アプリに情報を登録した人です。氏名、住所、電話番号、メールアドレス、性別、生年月日、パスワードのハッシュ値、注文履歴、デリポイント会員IDが含まれます。
家族の氏名や誕生日を登録していた場合、その情報も対象となる可能性があります。配達先として登録した人の氏名、住所、電話番号が含まれる場合もあります。
最大約650万件は、漏えいの可能性がある情報の総件数であり、漏えいが確定した件数ではありません。出前館、Uber Eats、電話のみで注文した人は対象外です。また、同社はクレジットカード情報を保有していないため、対象に含まれません。
10月5日以降に不正アクセスを検知
同社は10月5日以降、利用するサーバーへの第三者による不正アクセスを検知し、攻撃経路と被害の調査を始めました。10月7日早朝には一部サーバーでシステム障害が発生し、サーバー運営会社からランサムウェア攻撃を受けたとの報告を受けています。
同社は同日、システムを停止して緊急対応チームを設置しました。登録者情報を保管していたサーバーの運営会社からは、委託していたデータの取り出しや復元が困難との報告も受けています。
10月13日時点で、同社は漏えいの明確な痕跡や事実、範囲を特定できていないとしつつ、可能性のある利用者への案内と公表を決めました。個人情報保護委員会と管轄警察署に報告し、対象となる可能性がある利用者には順次連絡するとしています。
注文は電話や店頭などで継続
公式サイトと公式アプリからの注文は停止中ですが、電話注文、店頭でのテイクアウト注文、出前館、Uber Eatsでの注文は利用できます。メニュー一覧の確認と店舗検索も公式サイトで利用できます。
同社は10月8日以降、これらの稼働中サービスで注文を受け付けています。公式サイト・アプリの注文機能は再開の見通しが立っておらず、進展があれば順次案内するとしています。
同社は、現時点で個人情報の不正利用による二次被害は確認されていないとしています。万一に備え、不審な電話や、パスワード入力を求めるなど心当たりのないメールに注意を呼びかけています。
パスワードはサービスごとに変える
今回対象となる可能性がある情報には、パスワードそのものではなく、ハッシュ値が含まれます。ハッシュ値はパスワードを変換した値です。ライドオンエクスプレスは、パスワードが暗号化され、そのままでは読み取れない情報だと説明しています。
情報処理推進機構（IPA）は、パスワードをできる限り長く複雑にし、サービス間で使い回さないよう案内しています。サービスごとに異なるパスワードを設定すれば、あるサービスの情報が漏えいした場合に、同じパスワードを使う別サービスへの不正ログインを防ぐ助けになります。
IPAは、サービスごとにパスワードを変える方法として、覚えやすい共通の文字列にサービスごとの識別子を加える例も紹介しています。また、利用者ごとに異なる値を加えてハッシュ化するソルトや、ハッシュ計算を繰り返して計算量を増やすストレッチングを、サービス提供者側の対策として挙げています。
