東急の検証用環境への侵入から東光食品のデータ持ち出しへ（2024年）

何が起きたか

2024年4月28日、東急が構築中だった社内ネットワークの検証用環境に第三者が侵入しました。そこから既存のネットワークへ不正に接続し、同じネットワークにある子会社・東光食品のファイルサーバーに到達しました。東急と東光食品は、サーバー内のデータの一部が不正に読み出され、持ち出された形跡を確認しています。東急・東光食品の初報／調査結果

どのファイルが持ち出されたかは特定できませんでした。両社は、保管していた全データが持ち出された場合を想定して、影響を受けた可能性のある個人情報を調べています。確認済みのデータ持ち出しと、個々の個人情報が流出した可能性を分けて読む必要があります。調査結果「1」「2」

被害の範囲と対応

2024年8月20日の調査結果では、流出した可能性のある個人データとして、顧客に関するもの901件、取引事業者に関するもの9,942件、従業員・退職者に関するもの5,802件を示しました。これらは可能性のある件数で、全件の持ち出しが確認された数でも、重複を除いた人数でもありません。同社は、対象データにマイナンバーカードとクレジットカード情報は含まれず、同日時点で不正利用も確認していないと説明しています。調査結果「1」「2」

東急は検証用環境と既存ネットワークの接続を切り、ネットワーク全体の管理を強化しました。東光食品はファイルサーバーを入れ替え、設定と個人情報の管理を見直しました。接続の切断は被害拡大を防ぐための対応であり、攻撃によってサービスが停止したと読み替えません。調査結果「1」「4」

出来事の時系列

時系列は初報と調査結果に基づきます。4月28日を最初の侵入時刻とはしません。

まだ分かっていないこと

持ち出された個々のデータは特定できていません。最初の侵入時刻や、悪用された製品・脆弱性も参照した発表からは分かりません。件数は、ファイルサーバーの全データが持ち出された場合を想定した範囲です。東急・東光食品の調査結果

この事例から分かること

新しく作った検証用の環境でも、既存ネットワークにつながっていれば、別の会社が管理する情報に影響が及び得ます。今回、データ持ち出しの形跡は確認されましたが、個々の個人情報の流出件数は特定できていません。対象者として案内を受けた人は、東急・東光食品の公式発表を確認し、身に覚えのない連絡などがあれば公式窓口に相談してください。