ACCESS子会社「CROS」で情報流出―BIツール経由でメール送信の鍵も窃取

ACCESSは10月15日、台湾子会社のEC事業者向け業務支援サービス「CROS」で個人情報の流出が判明したと発表しました。16日に国内で報じられた事案で、顧客ID15万5,280件と受注ID23万1,998件が対象です。これらは異なる単位で、合計して被害人数とはできません。

同社によると、侵入口は特定の取引先1社向けのBI（業務データの分析）ツールでした。9月11日に不正アクセスの徴候を検知し、サーバーを停止・隔離しています。アプリケーションを通じた侵害と判断していますが、具体的な脆弱性は公表していません。

カード情報は1,305アカウント分が流出し、うち4件ではセキュリティコードも含まれます。加えて、盗まれたメール送信サービスの鍵で1万1,441件の不正メールが送信されました。送信先には、今回流出した個人情報ではなく、侵入者が別に用意したリストが使われたと同社は説明しています。

メール送信の認証情報は無効化・更新済みです。CROS全体も一時停止後に復旧しましたが、決済サービスの秘密鍵更新は一部作業中としています。顧客情報の通知は取引先事業者が行い、決済未完了のカード情報を保持しないよう改修する予定です。