710万件誤送信「発覚まで4年」とKFC全店休業リスク——同じ週に露呈した二つの漏えい

一見無関係に見える二つのインシデントが、同じ週に相次いで公表された。LINEヤフーは7月13日、「LINEポコポコ」(約547万件)、「LINEポコパンタウン」(約79万件)、「LINEポコパン」(約84万件)の計約710万件について、ユーザー識別情報が外部の広告分析ツールへ誤送信されていたと発表した。原因は2022年5月のツール設定変更で、発覚まで実に3年10カ月間、誰にも気づかれなかった。氏名や住所、決済情報は含まれず送信先も情報を削除済みというが、社内のデータフローが4年近くも監視をすり抜けていた事実は重い。

一方、同じく13日にはニチレイが不正アクセスを公表。冷蔵倉庫の入出庫や冷凍食品出荷のシステムに障害が生じ、翌14日、委託先の一つである日本KFCが「全店舗で品切れ・臨時休業のおそれ」「ネット注文停止」と発表する事態に発展した。ニチレイは個人情報の外部流出は確認していないとするが、川上のシステム障害が川下の飲食チェーンの店頭にまで直接波及した点が特徴的だ。

LINEヤフー側は機密性(情報が外部に渡ったか)の問題で、攻撃者は介在せず社内の設定ミスが主因。ニチレイ側は可用性(システムが動くか)の問題で、外部攻撃者による不正アクセスが業務システムを止め、その影響がサプライチェーンを通じて一般消費者の目に見える形、つまり店頭の品切れまで伝播した。

セキュリティ担当者への教訓は、監視すべき対象が「自社が攻撃されるか」だけでは足りないという点だ。広告SDKや分析ツールとのデータ連携は定期的な棚卸しがなければ何年でも見逃され得るし、委託先1社の障害が自社ブランドの店頭運営を止め得ることを、KFCの臨時休業は改めて示した。取引先・連携先のセキュリティ体制を評価する「サードパーティリスク管理」は、もはや大企業だけの課題ではない。自社が直接攻撃を受けていなくても、連携先の設定ミスや障害だけで信用や事業が揺らぐことを、今回の2件は同時に突きつけている。