シチズン時計、委託先サーバへの不正アクセスで約10万人分の個人情報漏えいか
シチズン時計の問い合わせフォーム委託先サーバへの不正アクセスで、約10万人分の個人情報が漏えいした可能性が判明した。
何が起きたか
シチズン時計は、問い合わせフォームの運用を委託しているスカラコミュニケーションズのサーバに不正アクセスがあり、約10万人分の個人情報が漏えいした可能性があると公表した。決済情報も流出した可能性が一部報道で指摘されている。スカラコミュニケーションズは大和証券にも影響が及んだとされ、同一サービスを介した被害が複数企業に広がっている。
なぜ起きたか
委託先が運用する問い合わせフォームのサーバが攻撃を受け、認証情報の窃取や設定の不備を突かれた可能性がある。委託先のセキュリティ管理が複数の委託元企業に共通のリスクとして波及する構造が背景にある。
影響範囲
シチズン時計に問い合わせた顧客約10万人分の氏名や連絡先などが対象となり、決済情報が含まれる場合は二次被害の懸念がある。同じ委託先を利用する大和証券など他社の顧客にも影響が及ぶ可能性がある。
どうなりそうか
シチズン時計とスカラコミュニケーションズは影響範囲の特定と対象者への通知を進めるとみられる。委託先経由の漏えいが相次いでいることから、委託元企業によるセキュリティ監査や契約見直しの動きが強まりそうだ。
意識したほうがいいこと
シチズン時計や大和証券を利用し問い合わせ履歴がある人は、同社からの通知や公式サイトの案内を確認し、不審な連絡や身に覚えのない請求がないか注意する。決済情報を登録していた場合はカード会社の利用明細も確認したい。
社会への影響
業務委託先を経由した情報漏えいが繰り返されることで、企業のサプライチェーン全体のセキュリティ管理と、委託先選定・監督のあり方が問われている。利用者側の企業に対する信頼にも影響しうる。