コナカ：連結子会社のメール配信サービス提供元への不正アクセスによるメールアドレスの漏えいに関するお知らせ

コナカの発表は、メール配信サービス「repica」の提供元であるアララ株式会社のサーバーへの不正アクセスに起因する。rocket-boys.co.jp は、各社の通販サイトへの侵入が公表されたものではなく、メール配信サービスへの攻撃に伴う被害だと整理している [s3]。時事通信は、子会社2社のメール配信業務の委託先が不正アクセスを受け、メールアドレス43万4414件が漏えいしたと報じた [s4]。

rocket-boys.co.jp によれば、対象は「サマンサタバサ」「バーンデストローズ」「フィットハウス」の各オンラインショップとフィットハウスアプリの計4サービスで、43万4,414件はこれらの合計値である [s3]。同紙は、4サービス間でのアドレスの重複について開示文書に詳しい説明はなく、件数をそのまま被害者の実人数とはみなせないと指摘した [s3]。kabutrack.com も、同数の人数が被害を受けたとは限らないと伝えている [s7]。

アララ側の動きについて、rocket-boys.co.jp は次のように伝えている。アララは11月2日付の第2報で、メール配信サービス「アララメッセージ」の契約企業向け環境にあるサーバー97台への侵入を報告した。対象企業は最大約380社と推計し、約7,700万件のメールアドレスが外部へ持ち出された、または持ち出されたおそれがあると説明した。この件数は実人数ではなく、精査中とされる [s3]。同紙は、コナカの43万4,414件をアララの約7,700万件に新たな独立被害として単純加算することはできないとしている [s3]。

侵入経路について、rocket-boys.co.jp は、アララがWebサーバーの脆弱性に加え、システム環境上の問題も一連の不正アクセスに関係したと説明していると伝えた。一方で、コナカの件について攻撃者が使った具体的な侵入経路やCVE番号が個別に特定されたという発表ではないとしている [s3]。

rocket-boys.co.jp によれば、アララの影響は他社にも及んでおり、IIJの個人向けサービス「IIJmio」では、契約者のメールアドレス98万3,458件の流出が公表されている [s3]。リスク対策.com は、楽天証券が委託先の不正アクセスにより顧客のメールアドレスが流出した可能性を報じた記事を並べて掲載している [s4]。ただし、この記事がアララとの関係に言及しているかどうかは、掲載された見出しからは読み取れない。

影響範囲について、rocket-boys.co.jp は、コナカが流出した情報をメールアドレスとしており、注文履歴や決済情報まで漏えいしたと発表したわけではないと整理している [s3]。kabutrack.com は、コナカ本体の基幹システムへの侵入を確認した発表ではないとしている [s7]。メール配信システムは一時停止中で、復旧後に対象者へ個別に案内する方針である [s3][s7]。同社は現時点で連結業績への影響は確認されていないとしているが、kabutrack.com は、費用が将来も発生しないという意味ではないと注記している [s7]。

注意喚起について、rocket-boys.co.jp によれば、コナカは流出したメールアドレスを悪用した不審なメールが届く可能性があるとして注意を呼びかけている。本文のリンク先や添付ファイルを安易に開かず、ID、パスワード、個人情報を入力しないよう案内している。サマンサタバサジャパンリミテッドとバーンデストローズジャパンリミテッドは、メールでパスワードやカード情報の入力を求めることはないと明示している [s3]。

rocket-boys.co.jp は、実務上の確認事項として、ブランドごとの配信サービス、契約主体、再委託先、連携する情報項目の一覧化を挙げている。あわせて、委託先で事故が起きた際の配信停止、顧客告知、代替手段への切り替えの判断部署を決めておくこと、本人確認やパスワード再設定にメール配信を使っている場合はメールが使えない期間の運用を点検することも挙げている [s3]。