シードのサーバーに不正アクセス、関連ファイル11件が流出（2022年）

何が起きたか

コンタクトレンズなどを扱うシードは、2022年11月29日に同社の一部サーバーへ第三者が不正アクセスしたと説明しています。同社は2023年5月の決算説明資料で、この事件を「ランサムウェアトラブル」として報告しました。ただし、その資料からは何が暗号化されたか、身代金を要求されたかまでは確認できません。同社の決算説明資料20頁

被害と影響

外部専門家と調査した結果、同社は関連ファイル11件の漏えいを確認しました。資料には、その中に「関係者の個人情報6件を含む」とあります。11件はファイル数ですが、6件を6人分や6ファイルと読み替えることはできません。 対象者の総数もこの資料だけでは確定できません。同社の決算説明資料20頁

同社は、これ以外の流出は当時認められなかった一方、他の個人情報が流出した可能性は完全に否定できないと説明しました。2023年4月18日にウェブサイトへの掲載と報道機関向け発表を行い、4月中旬から5月中旬にかけて対象者に個別連絡したとしています。また、警察や個人情報保護委員会等に説明・相談・届出を行いました。システムは早期に復旧し、決算説明資料の時点まで二次被害や業務運営上の支障は発生していないとの説明です。追加の流出を確認済みと扱わず、流出被害そのものを否定もしません。同社の決算説明資料20頁

出来事の時系列

時系列は同社の決算説明資料20頁に基づきます。

まだ分かっていないこと

暗号化されたデータの有無や範囲、身代金要求の有無、システムの詳しい復旧日は、参照した資料からは確認できません。追加の個人情報流出は可能性として説明されています。侵入経路も会社は「可能性が高い」と表現しており、確定した原因としては扱えません。同社の決算説明資料20頁

この事例から分かること

システムが早く復旧して業務への支障が広がらなくても、調査によってファイルの流出が確認されることがあります。自分への影響が心配な人はシードの公式情報を確認し、同社を名乗る不審な連絡に注意できます。同社の決算説明資料20頁