JR東日本、えきねっとなどで206万件の情報漏えいの可能性 クラウド攻撃が波及
IDCFクラウドへのランサムウェア攻撃が波及し、JR東日本の会員情報206万件が漏えいした可能性がある。
何が起きたか
JR東日本は、えきねっとで約167万件、大人の休日倶楽部で約39万件、合計約206万件の個人情報が漏えいした可能性があると公表した。同社が利用するIDCフロンティアのクラウドサービス「IDCFクラウド」へのランサムウェア攻撃の影響とされる。漏えいの可能性がある情報にはメールアドレスなどが含まれる。
なぜ起きたか
攻撃を受けたのはJR東日本ではなく、同社が業務を委託するクラウド事業者IDCフロンティアである。ひとつのクラウド基盤に複数の企業システムが接続されていれば、そこへの侵入が契約企業の顧客データにまで及ぶ。IDCフロンティアはランサムウェア攻撃を受けたとみられ、影響が同社を利用する自治体や企業のシステム障害として同時多発的に表面化している。
影響範囲
えきねっとや大人の休日倶楽部の会員としてメールアドレスなどを登録した利用者が対象となる。件数は約206万件に上り、同社はビューカードを含めると600万件超に達する可能性にも言及している。影響は鉄道利用者にとどまらず、同クラウドを利用する自治体や他企業のサービス利用者にも及ぶ。
どうなりそうか
IDCフロンティアとJR東日本は漏えいの範囲と原因の調査を続けており、対象件数や項目が今後修正される可能性がある。攻撃グループの特定や身代金要求の有無、他テナントへの被害拡大の有無が次の焦点となる。警察への届け出や個人情報保護委員会への報告の有無も確認が必要だ。
意識したほうがいいこと
えきねっとや大人の休日倶楽部、ビューカードのアカウントを持つ利用者は、JR東日本やビューカードからの通知を確認し、不審なメールやログイン試行がないか点検したほうがよい。同じパスワードを使い回している場合は変更し、多要素認証が使えるサービスでは設定を検討する。フィッシング目的の偽メールが増える可能性があるため、本文中のリンクは安易に開かない。
社会への影響
一社のクラウド障害が鉄道・金融・自治体のサービスに同時に波及したことで、企業のシステム委託先の選定と監査、インシデント発生時の情報開示の速さが改めて問われる。個人情報の漏えいが相次ぐなか、委託先を含めたサプライチェーン全体の防御体制と、被害者への補償・説明の枠組みをどう整えるかが課題となる。