名鉄グループの駐車場・カーシェア事業者である名鉄協商が、ランサムウェア攻撃を受けてカーシェアサービス「カリテコ」の顧客情報が漏えいした可能性を公表した。今年7月2日にシステム障害として表面化し、8月4日になって個人情報流出の可能性が正式発表されるという、典型的な「気づいてから確定までのタイムラグ」を伴うインシデントだ。
対象となるのは「カリテコ」入会申込書に情報を記載した顧客で、現会員だけでなく退会済み会員も含まれる。漏えいの可能性がある項目は氏名・住所・生年月日・電話番号・メールアドレスに加え、運転免許証情報、そして一部顧客のクレジットカード情報にまで及ぶ。カーシェアの入会審査は本人確認のために運転免許証の画像や番号を保存するケースが多く、退会後もそのデータが長期間サーバに残り続けている企業は珍しくない。今回のように攻撃を受けて初めて「何年も前に退会した会員の免許証情報まで晒されていた」と判明する構図は、他のカーシェア・レンタカー事業者にも共通するリスクだ。
1. 入会申込
本人確認のため運転免許証情報などをサーバに保存。
2. 退会後もデータ保持
退会済み会員の情報も削除されず長期間残存。
3. 攻撃で情報流出
ランサムウェア攻撃を受け、現・退会済み双方の情報が流出した可能性。
同社は対象となりうる顧客への個別案内と、外部専門機関の助言を踏まえた原因調査・再発防止策の強化を進めるとしている。ランサムウェアは暗号化による業務停止だけでなく、窃取した個人データを人質にした二重恐喝が定番化している。カード情報や免許証番号のような「本人確認に直結するデータ」を保持する事業者は、稼働中のシステムだけでなく退会済みデータの保持期間そのものを見直す必要がある。
COMMENTS 0
まだコメントはありません。最初のコメントを投稿しよう。