# オープニング #2021年の私 どうもー。セキュリティジョッキーの松野です。 6回目のセキュリティ会社企業を目指して サイバーセキュリティの最新ニュースについて解説しております。 ということで、今日は2021年の私に関する話なんですけども 2021年はですね、僕にとっては企業化としてもう一つ上のレベルに行けるかどうかの 挑戦の時点だったと記憶しています。 それをセキュリティで形にしたのがS4というサービスでした。 ずっとセキュラチを聞いてくださっている方であればですね 記憶の片隅にあるかなと思っていまして、今もおそらくサービス自体はですね 存在しているとは思います。 会社の規模がどんどん大きくなるにつれて、セキュリティ業界での影響力も日に日に大きくなっていく ことを肌で感じていました。 なので、ただ売上を伸ばすだけじゃなくてですね 経営者として役割を真に全うしたいなという思いが強くなってきまして ビジネスって何のために存在しているんだろうかみたいな 本質的なところから勉強をしまくっていました。 その中で見えてきたのが、社会課題を解決することがビジネスの役割であるという 極めてシンプルな答えにたどり着きました。 セキュリティ業界に話を戻すと、人、技術、お金がなくて セキュリティ対策ができない組織が多く存在していまして、その結果ですね サプライチェーンリスクという形で、実際に被害まで出ている状況でした。 これを解決できなければ セキュリティ会社として存在している意味はないし、 企業化として自分がもう一つ上のレベルに行くことはできないなというふうに理解して それで作ったのが全ての人が無料で使えるセキュリティサービス S4でした。 結論から言うと、ほとんどの人にS4の存在意義は正しく理解されることがなくて、 社会課題を解決する以前の問題が起きていました。 クラウドファンディングをやれば、お金に困っているんですかと心配されたり、 可動率と単価でしか経営を考えられない人たちに対しては 道徳なき経済は害悪であるという二宮尊徳の言葉を何度叫んだかわかりませんが、 最後まで通じ合うことはありませんでした。 それでもクラウドファンディングで支援してくださった 関田知事さんの皆さんだったり、あとは僕のことを信じて一緒にものづくりをしてくれた S4チームの仲間のみんなにも、本当に今も心から感謝しています。 もう少し僕自身に経営者としての能力が足りていたら、また違う結果になっていたと思うんですけども、 そんな誰の手にもセキュリティを届けることに挑戦をした1年だったと思います。 ということで今回は 大手小売企業の公式アプリで起きた不正アクセスについて取り上げております。 この放送を通じてリスナーの皆さんは、どんな情報が漏洩した可能性があるのか、 なぜ古いカード情報が残っていたのかについて理解を深めていただければと思います。 それではどうぞ # 「MUJIアプリ」への不正アクセス、新たにカード情報が外部からアクセスされた可能性も 無事アプリへの不正アクセス、新たにカード情報が外部からアクセスされた可能性も、 株式会社良品計画は11月4日、10月30日に公表した無印良品の公式アプリ 無事アプリでの顧客情報の流出について第2法を発表した。 こちらの記事を簡単に解説お願いできますでしょうか。 はい。大手小売企業は11月4日、10月30日に公表した公式アプリでの顧客情報の流出について 第2法を発表しました。 外部からの不正アクセスにより、アプリの利用者に加え、ネットストアの利用者のメールアドレス、 生年月日、性別、会員IDが最大約2726万件アクセスされた可能性があります。 そのうち約52万件では、氏名、住所、電話番号も含まれます。 さらに、提携カードの会員約109万件のカード番号の全桁と、 生年月日などにもアクセスされた可能性があります。 2021年7月以前に、得点付与のために取得した情報がシステム上に残っていたといいます。 同社は不正なアクセスを遮断し、当該システム以外にも影響がないか監視を強化し継続しています。 対象者には、メールか郵送で個別に連絡します。 現時点で、アプリとネットストアは正常に利用できるとのことです。 他にも、アプリやネットストアで登録されたカード情報のうち、 先登録桁と下下桁、名義が約120件アクセスされた可能性があります。 原因の詳細は現時点では示されていません。 原因や再発防止策は今後の発表を待つ状況です。 カード番号がなぜ今もシステムに残っていたのでしょうか。 はい。記事によると、2021年7月以前は独自の得点を付与するため、 定型カードに入会した顧客のカード番号などを取得していました。 その情報がシステム上に残っていたとのことです。 不要になった個人情報をいつまで保管するのかというデータの管理が問われます。 一度集めた情報は利用目的が終わったら削除するか使えない形にするのが原則です。 残っている情報は攻撃者にとって確保の標的になるからです。 今回の約109万件のうち、現在も有効なカードは約34.5万件で、 残りは無効でしたが、無効なカードでも他の情報と組み合わされる可能性は残ります。 カード番号が全桁が見られるとどんな被害がありますか。 はい。不正利用の危険が高まります。 ただしカードの利用には通常有効期限やセキュリティコードなども必要です。 今回全桁が対象になったのは約109万件で、そのうち現時点で有効なのは約34.5万件とされています。 カード会社の案内に従い明細を確認してください。 連絡先はカードの裏面に記載された公式のものを使いましょう。 身に覚えのない請求があればすぐにカード会社へ連絡し、必要に応じてカードの再発行を依頼しましょう。 氏名や住所が漏れた約52万件の方は何に気を付ければよいですか。 はい。本人になりすました詐欺のメールや電話、偽の通知に注意してください。 メールアドレス、生年月日、氏名、住所、電話番号がされるとより巧妙な手口が可能になります。 例えば本人しか知らないはずの情報を並べて信用させる手口です。 家族にも同じ注意を共有してください。 公式を名乗る連絡もリンクは開かず公式アクリやサイトから確認しましょう。 メールのリンクからカード情報や暗証番号を入力させる手口には特に警戒してください。 第一報から第二報で影響範囲が広がったのはなぜですか。 はい。調査が進み新たな事実が判明したためです。 第一報ではアプリ利用者が対象とされていましたが、ネットストアの利用者も含まれるとわかりました。 調査の初期は全体像をつかめないことも多く、システムが複数にまたがる場合はなおさらです。 続報で範囲が変わることがあります。 続報を確認する姿勢が大切です。 今回も第一報から約5日で第二報が出ており、その間にカード情報の可能性という重要な事実が加わりました。 この件から企業と利用者は何を学べばよいでしょうか。 はい。企業は不要な個人情報を持ち続けないこと、保管の期限を決めて定期的に棚卸しすること、 特に決済に関わる情報を最小限にすることが重要です。 利用者はカードの明細をこまめに確認し、パスワードを使い回さないことが大切です。 カードの利用通知を設定しておけば異変にすぐ気づけます。 不要になった会員登録は整理しておくとよいでしょう。 ネットストアだけを使っていた方も対象になる点に注意してください。 なるほど。続報で影響範囲が広がってくることがあるため、 明細の確認や不審な連絡への注意を続け、不要な情報を預けないことが大切だとわかりました。 また一つ勉強になりました。 # エンディングと今日のまとめ はい、ということでいかがでしたでしょうか。 今回はですね、公式アプリで起きた不正アクセスということでですね、カード情報を含む個人情報が漏えいしてしまった可能性があるということです。 今回漏えいした情報の中にはですね、有効期限切れのカード情報も含まれていたということで、 まさに先日いただいたコメントに返信させていただきました通りですね、本当にその個人情報は保持し続ける必要があったのかというところをですね、 全ての組織が見直すタイミングに、まさに今ですね、来ているんじゃないかと思っています。 昨今のですね、多発するサイバー攻撃において保持する個人情報を守り続けることがですね、本当に難しくなってきています。 そういった状況の中ではですね、その大切な個人情報を本当に保持し続ける必要があるのかというところからですね、見直す必要があるんじゃないかと思っています。 逆の立場というかですね、利用者側にとっても皆さんの大切な個人情報ですね、本当に渡す必要があるのかというところからですね、 見直さないと自分の個人情報を守ることができないということですね、まさに今起こっていることなのかなというふうに考えております。 今日の10分セキュリティラジオは月曜から土曜に祝日も休まず配信しております。 それではまた明日の配信でお会いしましょう。 セキュリティジョッキーの松野でした。 See you!