株式会社カインドオルは8月28日、同社が運営するECサイトで利用しているECプラットフォームのスタッフアカウントへの不正アクセスについて発表した。
これは8月24日に、同社が通常業務として注文情報の出力を行った際に、ECプラットフォームのスタッフアカウントに登録されているメールアドレスが同社で使用していないものに変更されていることを確認したため、ECプラットフォームの運営会社に調査を依頼したところ、当該スタッフアカウントに第三者から不正アクセスが行われた後、8月23日に顧客情報の一括エクスポートが2回行われていたことが判明したというもの。
現時点で漏えいした可能性があるのは、136,464名の顧客の個人情報（カスタマーID、氏名、住所、電話番号、生年月日、メールアドレス、メールマガジンの購読状況、合計注文回数、合計購入金額、ECプラットフォーム上で管理している顧客タグ情報、ポイント情報履歴（保有・失効・累計））。
同社では対象となる顧客に対し、個別に案内を行っている。
同社で社内調査した結果、不正アクセスのあったスタッフアカウントを使用していた従業員宛に、同社が利用するECプラットフォームの運営会社を装ったフィッシングメールが送信され、当該メールに記載されたリンク先の偽サイトに、スタッフアカウントの認証情報が入力されたことを確認している。
また、当該PCのログ等を確認した結果、認証情報が入力された直後に最初の不正アクセスが発生していることから、同社ではフィッシングメールを通じてスタッフアカウントの認証情報が第三者に取得されたことが原因であると判断している。
なお、当該スタッフアカウントは二段階認証を設定しておらず、メールアドレスとパスワードのみでログインできる状態となっていたことに加え、設定されていたパスワードも十分な強度ではなく、これらの認証管理が十分でなかったことも、第三者による不正アクセスを防止できなかった要因の一つであると同社は認識している。
同社では本件の判明後に、下記の対応を実施している。
・不正アクセスのあったスタッフアカウントを削除
・当該アカウント以外のすべてのスタッフアカウントについて、不審なアクセス及び操作の有無を確認
・ECプラットフォームの全スタッフアカウントについて、二段階認証を必須化
・不正な顧客情報のエクスポート後に当該アカウントからその他の操作が行われていないかについて、ECプラットフォームの運営会社に追加調査を依頼
同社では今回の原因がフィッシングメールを通じた認証情報の取得であったことを踏まえ、今後、下記の対策を進めるとのこと。
・フィッシングメールを含む不審なメールへの対策強化
・従業員に対する情報セキュリティ教育及びフィッシング対策訓練の徹底
・二段階認証を含む認証管理の強化
・顧客情報へのアクセス権限及び一括エクスポート権限の見直し
・アカウントの追加、変更及び削除に関する管理手続の見直し
・不審なログイン、重要なアカウント情報の変更、大量のデータ出力等を早期に把握するための監視・エスカレーション体制の強化
