「銀のさら」650万件漏えいの恐れ 攻撃されたのは寿司屋ではなかった

宅配すしの「銀のさら」を運営するライドオンエクスプレスホールディングスが10月13日、顧客の個人情報が最大で約650万件漏れた恐れがあると公表した。対象は「銀のさら」「釜寅」「すし上等」の公式サイトと公式アプリに登録していた人だ。攻撃を受けたのは、この会社のサーバではない。会社が借りていたサーバを動かす別の会社が、ランサムウェア攻撃を受けた。

漏れた恐れがあるのは、氏名、住所、電話番号、メールアドレス、性別、生年月日、注文履歴、3ブランド共通のポイントサービスの会員ID、それにパスワードのハッシュ値だ。登録していれば、家族の氏名と誕生日、届け先の氏名・住所・電話番号も入る。クレジットカードの情報は、会社が持っていないので対象外だ。

で、自分の分は漏れたのか。会社は13日の時点で、漏えいの明確な痕跡は確認できておらず、事実も範囲も特定できていないと書いている。650万件は「漏えいが確定した件数ではありません」とも書いてある。悪用による二次被害も、今のところ確認されていない。

止まったのは、寿司屋ではなくサーバの側

経緯はこうだ。10月5日以降、会社が使うサーバへの不正アクセスを検知した。7日の早朝にシステム障害が起き、サーバの運営会社から、ランサムウェア攻撃を受けたと報告があった。同じ日に緊急対応チームを作り、公式サイトとアプリからの注文を止めた。13日の時点でも、注文が戻る見通しは立っていない。電話、店頭、出前館、Uber Eatsからは頼める。電話や出前館だけで注文していた人は、今回の対象に入っていない。

会社は、サーバの運営会社の名前を明かしていない。ただ、同じ10月7日の午前3時40分ごろ、ソフトバンク子会社のIDCフロンティアが動かすクラウド「IDCFクラウド」がランサムウェア攻撃を受けて止まった。Impress Watchは、495の企業や自治体に影響が及んだと伝えている。JR東海も、委託先のIDCフロンティアへの不正アクセスで、通販サイトの会員情報約1万5000件が漏れた恐れがあると発表した（時事通信）。銀のさらの件と同じサーバかどうかは、公表されていない。

ここが、ややこしい。1か所がやられると、借りていた側が一斉に巻き込まれる。495社といえば、中学校1校の生徒数ほどの会社や役所だ。IDCFクラウドの上での復旧は見込めないという続報も出ている。

ネットの評判

反応をまとめたサイトでは、650万件という規模への驚きが目立つ。「カードの情報も出たのでは」と不安がる声も並んだ。ただ、会社はカード情報を持っていないと説明している。「罰則が軽いから会社が対策を後回しにする」という制度への不満も多い。自分の使うサービスではなかった、と安心する声もあった。はてなブックマークには「ハッシュ値抜かれたら時間かければ解析可能か」と、守り方の中身を問う書き込みが付いた。

客の側にできるのは、2つだけ

では、どうすればいいのか。会社は、不審な電話や、パスワードの入力を求めるメールに注意するよう呼びかけている。相談窓口は0120-782-272だ。セキュリティ対策Labは、ハッシュ値でも「解析のリスクが残ります」として、同じパスワードを他のサービスでも使っている人には、使い回しをやめるよう勧めている。

ランサムウェアそのものを客が防ぐ手はない。個人情報保護委員会への報告も、警察への届けも、調査も会社の仕事だ。650万件のうちの1件になった側にできるのは、使い回していたパスワードを替えておくことと、しばらく電話か店頭で注文することだけだ。