JR四国：JR四国　メルマガ会員3万件の個人情報が漏えい可能性　クラウドサービスに不正アクセス　香川（KSB瀬戸内海放送） - Yahoo!ニュース

報道によれば、JR四国のツアーWeb会員情報が影響を受けたのは、同社が利用していたメール配信システム「ブラストメール」の運営側で不正アクセスがあったためである。JR四国自身のシステムへの侵入ではないとされる。日本経済新聞は、ラクスの子会社が提供するブラストメールで不正アクセスがあり、データが持ち出されたと報じた[s7]。act1.co.jp も、不正アクセスはサービス側で発生し、JR四国自身のシステムへの侵入には同社が触れていないと伝えている[s9]。NHKは、ツアー企画のメールマガジンの配信を委託している東京のIT企業が外部から不正アクセスを受けたと報じた[s8]。

ロケットボーイズ（rocket-boys.co.jp）の記事によれば、ラクスは10月21日付の第2報で、第三者が子会社ラクスライトクラウドのAPI用サーバー2台に侵入してコマンドを実行し、販売管理システムやサービスのデータベースに接続して情報を持ち出したと公表した。同記事は、販売管理システムに保存されていた全契約者の会社名、担当者名、連絡先、契約・支払い履歴などが持ち出され、一部の契約者についてはメール配信先リストなどの漏えいも確認されたと整理している。そのうえで、「一部契約者の配信先リストの漏えい確認」を、JR四国の約3万件すべての漏えい確認と読み替えることはできないと注意している[s10]。

JR四国の影響範囲について、日本経済新聞はJR四国の説明として、クレジットカード情報は漏えいの対象とは聞いていないと伝えた。漏えいの可能性と範囲は調査中で、対象となり得る顧客には準備が整い次第おわびのメールを送るという[s7]。act1.co.jp によれば、メールマガジンは現在配信できない状態で、JR四国は新たな事実が判明し次第、速やかに知らせるとしている[s9]。ロケットボーイズも、約3万件は漏えいの可能性がある登録情報の規模であり、約3万人分が持ち出されたと確定したものではないと述べている。パスワードやクレジットカード情報が対象に含まれたとする情報はないとも書いている[s10]。

同日にJR四国は、PHPの脆弱性への対応として公式サイトの一部ページを順次停止した。ロケットボーイズは、共同通信によれば列車の運行やチケットアプリでのきっぷの購入・利用に影響はなく、外部からの不正アクセスも確認されていないと報じられたと紹介している。同記事はこれをブラストメールへの不正アクセスとは原因も対象システムも異なる別の事象とし、同日に起きたことだけで同一の攻撃とは扱えないとしている[s10]。

注意喚起について、act1.co.jp は、旅行商品の案内を受け取るために登録された情報であるため、ツアーの予約確認や旅行代金の案内を装ったメールは本物と誤認されるおそれがあると指摘する。心当たりのない連絡は、メール内のリンクからではなく、公式サイトなどの正規の窓口から確認するよう勧めている[s9]。ロケットボーイズは、氏名、生年月日、住所、メールアドレスが組み合わさると、旅行予約の確認や会員情報の再確認などを装った連絡に悪用されるおそれがあるとする。ただし、これは想定される二次被害のリスクであり、今回の登録情報を使った詐欺が確認されたわけではないとしている[s10]。

同種の事案との関係では、ロケットボーイズによれば、ブラストメールへの不正アクセスは多数の企業・自治体のメール配信に影響している。同じ記事の前後には、横浜市のGREEN×EXPO 2027ボランティア応募者6,334人、愛知県岡崎市の防犯情報メール約2万6,000件に関する記事が並ぶ[s10]。act1.co.jp は、委託先への攻撃であっても、利用者にとっては「JR四国に登録した情報が漏れたかもしれない」という問題になり、発表や問い合わせ対応を担うのは委託した企業自身だと指摘する。預ける情報を必要最小限に絞ることも備えになるとしている[s9]。