and secure企業のためのセキュリティ情報

トップ ＞ 企業インシデント

企業インシデント

セイコーマートアプリ57万件・タイムズカー660万件・Gyazoの不正アクセス（9/29速報）

公開

今日のポイント（3行以内）:
9月下旬、会員制Webサービス・アプリを狙った大規模漏えいが立て続けに公表された。共通点は「利用者の登録情報を丸ごと預かるサーバ」が入口になったこと。
自社が運営する会員サイト・アプリのアクセス制御とログ保全を、今日の点検項目に加える。

① セイコーマート（セコマ）— アプリ用サーバへの不正アクセスで約57万アカウントが漏えいのおそれ

北海道を中心にコンビニを展開するセコマは9月29日、スマートフォンアプリ「セイコーマートアプリ」用のサーバが不正アクセスを受け、セイコーマートクラブ会員の個人情報が漏えいした可能性があると公表した。影響を受けた可能性があるのは約57万アカウント。漏えいのおそれがあるのは氏名・性別・生年月日・住所・電話番号・メールアドレス、および会員用ポイントカードの入会・退会年月日である。

発覚のきっかけは、9月24日に1件のアカウントで不正な退会処理が行われていたこと。調査の結果、9月28日午後5時すぎに会員情報を保管するサーバへの不正アクセスの可能性が判明した。同社は同日午後8時に当該サーバへの接続を停止し、新規入会・会員情報の変更・退会・マイページへのログインなどを止めている。パスワードは漏えいしておらず、クレジットカード情報は保有していないとしており、電子マネー「ペコママネー」の不正利用も現時点で確認されていないという。

中小企業への影響

会員アプリやポイントサービスを自社で運営していると、会員情報を格納したサーバがそのまま攻撃対象になる。今回は「1件の不審な退会処理」という小さな異常が入口の発見につながった。日々の会員データにわずかな不整合が出たとき、それを検知して調べられる体制があるかどうかが被害の早期封じ込めを分ける。

推奨対応

  • 会員データベースへのアクセスをアプリ・管理者ごとに最小権限へ絞り、不要な外部公開経路を閉じる
  • 退会・変更・大量参照など「通常と異なる操作」を検知するアラートを設定する
  • 異常検知時にサーバへの接続を即座に遮断できる手順を、あらかじめ決めて訓練しておく
📌 このインシデントは継続追跡中です（詳細記事は順次公開予定）

② タイムズカー（パーク24／タイムズモビリティ）— 約660万件が漏えいのおそれ、運転免許証画像も約160万件

カーシェアリング「タイムズカー」を運営するタイムズモビリティとパーク24は、同サービスのWebシステムが不正アクセスを受け、最大約660万件の会員情報が外部に漏えいした可能性があると公表した（9月28日時点で第3報まで公開）。不正アクセスは9月25日午前9時7分に検知され、9月26日午前7時25分までに侵入経路の遮断と攻撃元との通信の遮断を完了したとしている。

漏えいのおそれがある情報は、氏名・住所・生年月日・電話番号・メールアドレス・運転免許証情報・本人確認書類情報・パスワード（復元できない形式で保管）・連携サービスのID、法人会員の部署名など。さらに約160万件については、運転免許証画像をはじめとする本人確認書類の画像そのものが対象に含まれる。対象には現会員だけでなく退会者や入会手続きの未完了者も含まれる。クレジットカード情報は漏えいしていないとしている。免許証画像という「なりすましに直結する情報」が退会者分まで残っていた点が、この事案の重さを物語る。

中小企業への影響

本人確認のために運転免許証や各種書類の画像を預かる業種は少なくない。今回のように退会者・手続き未完了者の書類画像まで保管し続けていると、漏えい時の被害範囲が一気に膨らむ。集めた本人確認書類を「いつまで・どこに」保管するかを決めていないと、必要のないデータが攻撃者への贈り物になる。

推奨対応

  • 本人確認書類の画像は保管期間を定め、退会・手続き未完了のデータは期限到来後に確実に削除する
  • 書類画像を格納するストレージは暗号化し、業務上必要な担当者以外はアクセスできないよう制限する
  • 会員サイトの脆弱性診断を定期実施し、外部から到達できる管理機能・APIを棚卸しする
📌 このインシデントは継続追跡中です（詳細記事は順次公開予定）

③ Gyazo（Helpfeel）— サーバの脆弱性を突かれ、ユーザー情報約2362万件・画像メタデータ約4.9億件が流出

画像共有サービス「Gyazo」を運営するHelpfeelは、画像アップロードサーバの脆弱性を突かれて不正アクセスを受け、ユーザー情報約2362万件と、アップロード画像に関するメタデータ約4億9000万件が外部に流出したと公表した。不正アクセスは9月11日に発生し、攻撃者は同社システム上で任意のコマンドを実行できる状態に至ったとされる。同社は9月12日未明までに侵入経路の遮断と脆弱性の修正を完了。9月25日の続報では、削除済み画像に関するメタデータ約1億7400万件も新たに流出対象に含まれることが判明した。

ユーザー情報約2362万件の内訳は、メールアドレスの登録がない匿名ユーザーが約1801万件（約76%）、登録があるユーザーが約562万件（約24%）で、全件でメールアドレスが流出したわけではない。ただし流出したメタデータから対象画像にアクセスされる恐れがあり、一部の非公開画像が第三者に閲覧された可能性も否定できないとしている。「任意のコマンドを実行できる状態」まで到達を許すと、被害はデータベースの一部にとどまらず、サーバ上のあらゆる情報に及ぶことを示す事例だ。

中小企業への影響

ファイルや画像をアップロードさせる機能は、攻撃者にとって恰好の侵入口になる。処理サーバに脆弱性があると、アップロードを通じて任意コマンドを実行され、サーバ全体を乗っ取られかねない。自社サイトに問い合わせ添付や画像投稿の仕組みがあるなら、その処理部分こそ最優先で守るべき箇所になる。

推奨対応

  • ファイル・画像アップロード機能の受け付けファイル形式を制限し、実行可能ファイルの混入を防ぐ
  • アップロード処理サーバのミドルウェア・ライブラリを最新に保ち、公開された脆弱性は速やかに適用する
  • 削除したはずのデータやメタデータが実際にサーバから消えているか、保管の実態を確認する
📌 このインシデントは継続追跡中です（詳細記事は順次公開予定）

編集部まとめ

今回の3件はいずれも「利用者から預かった登録情報を格納するサーバ・システム」が突破された。規模の大小を問わず、会員サイト・アプリ・アップロード機能を持つなら同じ入口が自社にもある。集める情報を必要最小限に絞り、保管期間を過ぎたデータを消し、異常を検知して即遮断できる体制を今日から整えたい。

企業インシデントの記事