楽天ブックスネットワークに不正アクセス、3.6万件流出 検知から公表まで4カ月半

発覚から公表まで4カ月半 #

楽天ブックスネットワークは8月21日、社内で使用するPC端末への不正アクセスにより顧客情報などが漏洩したと公表した。同社によれば侵入を検知したのは4月5日。つまり実に4カ月半以上、この事実は世に出ていなかったことになる。漏洩したのは楽天ブックス利用者33,333件(氏名・郵便番号・住所・電話番号)、取引先担当者2,101件、従業員339件の計約3万6000件。対象注文は2022年5月分と2023年12月分で、2〜4年前の古い注文データが社内端末に残存していた点も見過ごせない。

「古いデータほど狙われやすい」という現実 #

侵入経路の詳細は公開されていないが、PC端末が起点というのは典型的なエンドポイント侵害のパターンだ。フィッシングやマルウェア経由で端末を乗っ取り、業務用フォルダに残る過去の注文履歴や取引先情報を吸い出す手口は珍しくない。数年前の注文データがローカル端末に残っていたこと自体、データ保持・破棄ポリシーの甘さが被害範囲を広げた典型例と言える。企業がECサイトの購買データをどこまで、どれだけの期間保持すべきかは、今回のような事案が起きるたびに問い直される論点だ。

発表までの空白期間が意味するもの #

検知から公表まで4カ月半という空白は、フォレンジック調査や個人情報保護委員会への報告手続きに要する時間を差し引いても長い。攻撃者はとうに情報を得ているのに、利用者だけがそれを知らないまま日常を送る期間が長引くほど、フィッシングやなりすましといった二次被害のリスクは高まる。調査完了を待たず「調査中」の段階で早期に一報を出す運用へ切り替えるべきだ、という議論は今回も繰り返されるだろう。

利用者側にできることは限られるが、楽天ブックスを装う不審なメールや電話、宅配便の不在通知を装ったSMSなどには当面警戒しておきたい。とくに氏名・住所・電話番号がセットで漏れているため、フィッシングの文面が本物らしく作り込まれる可能性が高い点は意識しておくべきだろう。