何が起きたか

シャープの公式オンラインストア「COCORO STORE」と食材宅配サービス「ヘルシオデリ」が不正アクセスを受け、注文情報に含まれる203人の個人情報の流出が確認されました。別に、「COCORO STORE」の購入画面が改ざんされ、入力した情報が外部へ送られた可能性のある利用者もいます。シャープは、両サービスが使うソフトウェアの脆弱性を悪用されたと説明しています。シャープの2024年10月30日の調査結果

最初の侵入日時は示されていません。同社は、7月11日の時点で両サービスへの不正アクセスと一部の注文情報の流出があったと、後の調査で確認しています。シャープの2024年7月29日の発表

被害と影響

2024年10月30日の調査結果では、影響を受けた人を次のように分けています。5,836人全員の情報が流出したと確認したわけではありません。 シャープの調査結果「1.(3)」

同社の区分 人数 情報の確かさ
両サービスの一部の注文者・配送先 203人 氏名や住所などの流出を確認。この203人の流出情報にクレジットカード情報は含まれない。
COCORO STOREでカード情報を含めて入力し、注文を確定した人 4,257人 カード情報を含む個人情報が流出した可能性。カード情報の流出が全員について確認された人数ではない。
同サイトでカード情報以外の個人情報を入力し、注文を確定した人 1,376人 個人情報が流出した可能性。
上の3区分の合計 5,836人 確定流出203人と流出可能性のある人を合わせた、調査後の通知対象。

同社は7月22日に両サービスとカード決済を停止しました。攻撃を排除し、脆弱性へのソフトウェア更新、カード会社と連携した取引の監視、対象者への連絡などを行ったと説明しています。10月30日時点では両サービスの再開を予定していましたが、この発表に実際の再開日はありません。シャープの7月29日の発表／10月30日の調査結果

出来事の時系列

日時（日本時間） 出来事
2024年7月11日の時点 両サービスへの不正アクセスと、一部の注文情報の流出があったと後の調査で判明。最初の侵入日時とは限らない。
同年7月19日4時19分から 「COCORO STORE」のウェブサイトが改ざんされていた期間として同社が説明。
同年7月22日10時52分 同社がサイトの改ざんを把握。これは攻撃開始時刻ではない。
同日11時33分 両サービスのサイトを一時停止。
同年7月23日 7月11日の不正アクセスと流出が追加調査で判明。同社のお知らせ一覧には、この日の初回告知も載っている。
同年7月29日 同社が203人の個人情報流出を公表。当時は、より広い利用者へ注意を案内した。
同年10月16日 外部専門機関の調査が完了したと後の発表に記載。
同年10月30日 同社が調査結果と、流出可能性を含む5,836人の対象範囲を公表。

7月29日の発表では不正なスクリプトがあった期間の終わりを7月22日10時52分とし、10月30日の発表では購入情報の外部転送の可能性を評価した期間の終わりを同日10時50分としています。対象とする説明が異なるため、この2分の差を単純な訂正とは扱いません。記事本文では、後の調査結果に対応する人数を用いています。7月29日の発表／10月30日の調査結果

まだ分かっていないこと

確認した発表では、悪用されたソフトウェアの製品名や脆弱性の識別番号、最初の侵入日時、4,257人と1,376人のうち実際に情報が外部へ送られた人数は確定できません。7月29日に注意喚起された利用者端末への感染の実例も確認できていません。10月30日の発表はサービスの再開予定を示しますが、実際の再開日を示しません。7月29日の発表／10月30日の調査結果

この事例から分かること

同じ企業が運営する複数のサービスが同一の事案で影響を受け、流出が確認された人と、調査の結果流出の可能性が残る人を分けて案内しています。発表の時点によって対象範囲が変わるため、人数を見るときはその根拠と公表日も確認できます。シャープの10月30日の調査結果