イーナ「家具350」で問い合わせ情報1,317件が漏えい（2022年）

何が起きたか

イーナは、当時同社が運営していた「家具350」のWebページにある商品情報を管理するプログラムが、第三者から不正アクセスを受けたと発表しました。同社は2022年7月1日にプログラムの異常に気付き、調査して同日、不正アクセスを確認しました。イーナの発表

外部の専門会社による調査で、顧客からの問い合わせ情報1,317件の漏えいが確認されました。攻撃されたプログラムは商品情報を管理するものでしたが、漏えいしたと発表されたのは問い合わせ情報です。1,317件を人数とは言い換えません。イーナの発表「1.事態の概要及び原因」

被害と影響

漏えいした問い合わせ情報には、顧客の氏名、メールアドレス、電話番号が含まれます。同社は、クレジットカード情報や注文住所などは、今回の漏えい情報に含まれないと説明しています。すべての1,317件に各情報項目が同じように含まれていたかは、発表からは分かりません。イーナの発表「1.事態の概要及び原因」

同社は、7月1日に異常に気付いた直後、Webページのアクセス制御を強化し、脆弱性のある箇所を特定して対策したと説明しています。漏えい対象者には個別に連絡していることも発表しました。ここでいう「脆弱性のある箇所」が具体的に何だったのか、攻撃にどう使われたのかは発表に記載されていません。イーナの発表

出来事の時系列

上記の日付はイーナの2022年8月26日の発表に基づきます。

まだ分かっていないこと

参照した同社の発表からは、攻撃が最初に始まった日時、具体的な侵入経路、脆弱性の種類を確認できません。漏えい情報を使った二次被害が実際に起きたかどうかも分かりません。発表にはサービス停止や商品データの改ざんを確認したという記載もありません。イーナの発表

この事例から分かること

商品情報を扱うプログラムへの不正アクセスで、問い合わせ情報の漏えいが確認されました。どの情報が被害を受けたかは、攻撃されたプログラムの名前から推測せず、当事者の調査結果で確認する必要があります。イーナの発表

利用者向けの当時の案内: 同社は、不審なメールの添付ファイルを開かず、記載されたリンクや偽サイトの入力欄に安易に情報を入力しないよう注意を呼びかけました。これは漏えい後の二次被害への備えであり、利用者が今回のWebページへの不正アクセスを防げたという意味ではありません。イーナの発表「2.二次被害のおそれの内容と対策方法」