2.5次元アイドルグループ「いれいす」の運営元VOISING（東京都港区）が8月20日、同社の分析基盤(BIツール)への不正アクセスにより、最大約17万人分の個人情報が漏えいした可能性があると発表した。漏えいしたのは氏名・住所・電話番号・生年月日に加え、購入日時や商品名などの購買履歴、さらに「どのタレントを応援しているか」という"推し"選択情報まで含まれる。決済カード情報やパスワードの流出は確認されていない。
侵入から遮断までの5日間 #
同社の説明によると、不正アクセスは8月10日未明から始まり、8月16日夜にデータが不正にダウンロードされた。同社が異常を検知したのは同日深夜で、翌17日未明までにシステムを停止しネットワークから遮断している。
侵入から検知まで1週間近く気づかれなかった点が、この事案の核心だ。対象は「VOISING ID」「VOISING CONNECT」「VOISING ONLINE STORE」など複数サービスの共通基盤で、事業横断のアカウント統合がそのまま被害範囲の広さに直結した。
BIツールという盲点 #
BIツールや分析基盤は、複数サービスの顧客データを横断的に集約する性質上、攻撃者にとって「一箇所で全部揃う」魅力的な標的になる。一方で本番アプリほど監視・監査の目が届きにくく、社内の広範なスタッフがアクセス権を持つケースも多い。
| 区分 | 該当情報 |
|---|---|
| 漏えい | 氏名・住所・電話番号・生年月日・性別、購買履歴、"推し"タレント選択情報 |
| 非該当 | クレジットカード番号、口座情報、パスワード |
今回漏れた"推し"情報のようなファンダム特有のデータは金銭的価値こそ低いが、なりすましやソーシャルエンジニアリングの材料になり得る。SaaS型分析ツールを使う事業者は、権限の最小化とアクセスログの監視をアプリ本体と同水準で扱う必要がある。ユーザー側にできる対策は限られるが、同じメールアドレス・電話番号を使い回している他サービスでのフィッシングや不審な問い合わせには当面警戒しておきたい。
COMMENTS 0
まだコメントはありません。最初のコメントを投稿しよう。