「三越伊勢丹オンラインストア」「エムアイカード ホームページ」にパスワードリスト型攻撃（三越伊勢丹）

株式会社三越伊勢丹は8月6日、同社が運営するオンラインサイト「三越伊勢丹オンラインストア」およびグループ会社である株式会社エムアイカードのホームページに不正アクセスがあり、一部会員の情報が閲覧された可能性が判明したと発表した。

これは同社の会員から、身に覚えのないログイン通知メールが届いたと申し出があり調査を進めたところ、「三越伊勢丹オンラインストア」エムアイカードのホームページに対し2020年7月6日から8月3日にかけて、海外のIPアドレスから不正ログインの試行を確認、一部会員の個人情報が閲覧された可能性が判明したというもの。同社によると、他社サービスから流出した可能性のあるユーザIDとパスワードを利用した「リスト型アカウントハッキング（リスト型攻撃）」の手法で行われたと推測される。

不正ログインの状況は下記の通り。

・三越伊勢丹オンラインストア
件数：15,336件
期間：7月6日～8月3日
閲覧された可能性がある会員情報：氏名、住所、電話番号、メールアドレス、生年月日、クレジットカード情報（有効期限とカード番号下4桁のみ）など

・エムアイカード ホームページ
件数：3,583件
期間：7月6日～8月3日
閲覧された可能性がある会員情報：会員氏名、請求予定額、現在の保有ポイントなど

同社では、不正ログイン被害を受けた可能性がある顧客に対し、8月5日中に個別にメールでパスワード変更依頼の連絡を行っている。また、他社サービスと同じパスワードを設定している場合は不正ログイン防止のため、変更するよう呼びかけている。

同社では既に、不正ログインが試行されたIPアドレスからのアクセスを遮断、新規セキュリティ機器の導入と既存セキュリティ機器のチューニングを実施しセキュリティ対策を強化済みで、警察への相談や第三者機関を入れた対応を進めている。

同社では今後、セキュリティ対策のさらなる強化に努め再発防止に取り組むとのこと。