ENEOS Power：【重要なお知らせ】当社システムへの不正アクセス発生および個人情報漏洩について

経緯について、日本経済新聞は、ENEOS Power が29日に顧客57件の個人情報漏洩を発表したと報じた（公表文の日付は28日）[s3]。同紙によれば、19日午後7時から20日午前5時ごろにかけてシステムが不正アクセスを受けた[s3]。公表によれば判明は27日午前1時30分頃で、攻撃から判明まで約1週間の差がある[s4][s7]。rocket-boys.co.jp によれば、同社は10月27日付で、セキュリティ対応のため自社サイトの一部コンテンツを一時停止すると案内しており、これは「ENEOSでんき」側と「ENEOS都市ガス」側の告知に掲載された[s4]。翌28日の発表で、漏えいを確認した対象システムは「ENEOSでんき」「でんきサービス」に関わるものと明記された[s4]。

影響と業務面では、日本経済新聞によれば、同社はマイページなど一部サイトへの外部アクセスを遮断した。その結果、マイページの閲覧や新規申し込みができない状態になり、同紙の掲載時点で復旧の見通しは立っていないという[s3]。rocket-boys.co.jp は、10月28日付の公表では電気供給設備への攻撃や停電の発生は説明されていないとし、Webページの停止と電力供給の停止を混同しないよう注意を促している[s4]。ぴろりんテックも、ページが開けない人が全員漏えいの対象というわけではなく、電力供給停止を知らせる内容も発表にはないとしている[s6]。

漏えい項目について、rocket-boys.co.jp は、供給地点特定番号が使用場所名義、料金プラン、使用量と組み合わさると、どの契約の情報かを具体的に把握しやすくなると指摘した[s4]。公表によれば支払方法は口座振替やカード払いといった区分のみで、銀行口座情報とクレジットカード情報は含まれない[s4][s5]。パスワードの保存形式は発表で明らかにされていない[s5][s6]。

侵入経路や原因について、サイバーセキュリティ情報サイトは、公式発表では示されていないとしている[s7]。ぴろりんテックも、この発表から特定の脆弱性やパスワード使い回しが原因だったと決めることはできないとしている[s6]。

専門メディアは対策を示している。アクトは、ログイン情報が第三者に渡るとなりすましでマイページに入られ、契約内容や利用明細を見られるおそれがあり、同じIDとパスワードを他サービスで使っていればパスワードリスト攻撃に悪用される危険があると指摘した。あわせて、不正アクセスから判明まで時間がたつ事案を踏まえ、顧客向けページへの不審なログインを早く見つけられる体制かどうかの確認を企業に求めている[s5]。サイバーセキュリティ情報サイトの編集部コメントは、57名という件数の少なさにかかわらず認証情報の漏えいが重要だとして、パスワードの保管方法の点検、多要素認証とログイン試行の制限、フィッシング対策の周知を挙げている[s7]。rocket-boys.co.jp は、電気料金や振替予定日などの情報が請求関連の偽メールやSMSに悪用され得るとしつつ、今回そのような詐欺が確認されたわけではないと述べている[s4]。

同種事案との関係では、rocket-boys.co.jp が中部電力の2026年の不正アクセス事案に触れ、同事案は役職員などの連絡先情報が中心で、顧客情報システムへの影響は確認されていないと説明されていたため、両事案を同一の影響範囲として扱うことはできないとしている[s4]。