イエローハットWEB作業予約に不正アクセス、検知から10日で公表

株式会社イエローハットの公式発表によると、不正プログラムによる攻撃を受けたのは「イエローハットWEB作業予約システム」だ。8月18日朝に不正アクセスを検知し、直ちにシステムの外部接続を遮断した。その後の調査で、会員サーバーに保管された一部情報が外部へ漏えいした可能性が判明した。

公表は検知から10日後の8月28日午後3時30分。攻撃の開始時期や侵入期間、実際に外部へ持ち出された人数は明らかにしていない。

対象となる可能性があるのは最大180万1499人。項目は氏名、電話番号、メールアドレス、会員番号の4種類だ。クレジットカード情報、パスワード、車両情報は同システムで保持しておらず、漏えいはないと説明した。

同社はシステムの停止を含む措置を講じ、詳細調査とセキュリティ強化を進めた。必要なシステム上の対策は完了したとしている。個人情報保護委員会への報告と警察への相談もおこなったが、警察に被害届を提出したとは公表していない。

子会社2りんかんでは317万9454人分が流出

イエローハットグループでは4月、連結子会社の株式会社2りんかんイエローハットでも不正アクセスが発覚した。第三者調査を経た6月19日の最終報で、2りんかんのポイント・モバイル・アプリ会員317万9454人分のデータを攻撃者が取得したと確定している。

2りんかんの事案では、攻撃者が4月20日午前4時54分からAPIを不正に呼び出した。氏名や電話番号だけでなく、住所、生年月日、アプリパスワード、ポイント残高、車両情報なども流出した。

ただし、今回攻撃を受けたイエローハットのWEB作業予約システムは、グループ他社とは異なる独自の管理システムだ。同社は他ブランドの利用者への影響はないと説明している。両事案が同じ攻撃者や侵入経路によるものだと示す情報も公表されていない。

2りんかんが最終報で「グループ全体のセキュリティ体制のさらなる強化」を掲げてから約2カ月後、今度は親会社の別システムへの攻撃が明らかになった。グループ内で別々の大規模な個人情報事案が短期間に公表された形だ。

対象者へメールやSMSで通知、不審なリンクに注意

イエローハットは、対象となる可能性がある顧客に対し、準備ができ次第、電子メール、SMS、電話、書面で通知する。

同社は、身に覚えのない不審なメールやSMSが届いた場合、メールの開封、リンクへのアクセス、添付ファイルの開封を控えるよう呼びかけている。公表文では、二次被害の発生状況については示していない。

専用相談窓口は0120-405-092。8月28日から10月12日までは全日、10月13日以降は平日に受け付ける。受付時間はいずれも午前10時から午後7時までとなる。同社は新たな事実が判明した場合、公式サイトで公表するとしている。