イエローハット、最大180万人分の情報漏えいか　作業予約システムに不正アクセス

個人情報180万件、作業予約システムが標的に #

カー用品最大手のイエローハットは8月28日、店舗の「WEB作業予約システム」が不正アクセスを受け、最大180万1499人分の氏名・電話番号・メールアドレス・会員番号が漏えいした可能性があると公表した。クレジットカード情報やパスワード、車両情報は対象外としている。検知は8月18日朝で、システムの外部接続を遮断するなどの緊急措置を取った後、原因調査とセキュリティ強化を進め、約10日かけて公表に至った。個人情報保護委員会への報告と警察への相談も済ませているという。

なぜ「予約システム」が狙われるのか #

決済機能を持たない予約システムは、決済系サービスに比べてセキュリティ投資の優先順位が下がりがちだ。しかしフォームには氏名・電話番号・メールアドレス・会員IDがまとまって蓄積されており、攻撃者にとっては標的型フィッシングやなりすまし電話をかけるための"名簿"として十分な価値を持つ。カード情報が無事だからといって「実害なし」と楽観できないのはこのためだ。今後、イエローハットを騙る不審な電話・SMS・メールが出回る可能性は十分にある。

グループ内で繰り返す被害、問われるガバナンス #

同グループでは4月にも子会社「2りんかんイエローハット」で不正アクセス被害が発生しており、今回で半年足らずのうちに2度目のインシデントとなる。単発の事後対応を重ねるだけでは再発を防げないことを、この短期間での再発が物語っている。グループ横断での脆弱性診断・ログ監視体制の統一、そして決済を扱わない周辺システムまで含めた棚卸しが急務だ。利用者側も、実被害が小さく見える漏えいであっても、届く不審な連絡には一段の警戒を持つべきだろう。