5月1日週にかけて発生したセキュリティに関する出来事や、サイバー事件をダイジェストでお届け。

LINEギフトの通信内容が一定の操作で閲覧可能な状態に

LINEのサービス「LINEギフト」、および過去に提供していたLINEのECサービスなどにおいて、不適切なデータの取り扱いがあった。二次被害などは2023年4月17日時点で発生していない。

LINEギフトの場合、ユーザーが一定の操作を行うと送り主の情報が通信内容に含まれるというもの。通信内容を分析すると閲覧可能な状態になった。

問題の発生期間は、2015年2月ごろから2023年3月9日。閲覧可能な状態だったのは、送り主のLINEアプリ上における受け取り主の表示名。詳細は、送り主がギフト購入時に利用または獲得可能だったクーポンの情報、送り主の遷移元、経由元、流入元、送り主が「LINE上の友だち」の誕生日ページを経由してきたかどうか――となる。一部ユーザーについては認証情報が含まれるケースが存在したがが、認証情報には有効期限があり現在は無効化済み。

LINEギフト、および提供を終了したECサービスの出店ショップ向け管理システムでは、ダウンロードできる受注データのCSVファイルの中に、注文者の「遷移元」データを含んでいた。この機能は2023年2月21日に提供を停止しており、2023年3月17日時点で該当データを取得した可能性のあるショップにデータの消去を依頼。発生期間は、2016年2月ごろから2023年2月21日。

もうひとつ、LINEギフトおよび提供を終了したECサービスについて。ショップが管理するGoogle Analytics上にて、LINEギフト内の自店ページのアクセスデータを閲覧できる機能をユーザーへの説明なく提供していたこと。この機能は、2023年2月22日時点で提供を停止している。発生期間は2015年11月ごろから2023年2月22日。

ヴィレッジヴァンガード、購入者に出品者の情報が見えてしまう不具合

ヴィレッジヴァンガードコーポレーションが運営するサイト「VOON」において、アカウント登録をした出品者のマイページから、購入者の情報を閲覧できる期間があった。

2023年4月13日に出品者からの連絡で発覚。原因は、2023年3月31日に実施したサイトリニューアル時に、本番環境へ適用した変更に不具合があったこと。VOONの管理者（委託企業STOVE）が管理画面からユーザー編集を実施すると、対象ユーザーが管理権限となる状態だった。

情報が閲覧できたのは出品者22名。閲覧される側は、2021年10月から2022年9月の期間中にVOONで会員登録をした人50名分（ランダム）となる。内容は、氏名、住所、電話番号。

2023年4月14日には、該当する出品者から購入者の情報が閲覧できないように修正済み。今後は同じことが起こらないよう、本番適用する機能のリリース手順を見直して情報管理を徹底するとしている。情報公開の時点で個人情報の不正利用はない。

全国銀行協会出版センター、問い合わせメールアカウントが迷惑メール送信の踏み台に

全国銀行協会が運用している販売出版物に関する問い合わせ用メールアカウントが不正アクセスを受けた。これにより、問い合わせ用メールアカウントから不特定多数への迷惑メール送信を確認している。メール送信は2023年4月25日04時50分～6時2分に行われた模様。

全国銀行協会出版は、この時間帯の前後に「@jba-shuppancenter.jp」ドメインからのメールを受信していた場合、添付ファイルを開いたり、URLをクリックしたりしないこと、メールを削除することを呼びかけている。

村田製作所、不正アクセスを受けファイルサーバーから不正読み出し

村田製作所は、2023年3月16日に受けた不正アクセスに関する社内調査の結果を公開した。調査の結果、ファイルサーバーのデータの一部に不正読み出しの可能性があることがわかった。

当時、不正アクセスを確認した後は外部からのアクセス制限と侵入経路の遮断を講じていた。現在はセキュリティ専門機関の協力を得て、影響範囲の調査を実施中。情報セキュリティの強化と再発防止策についても今後検討していくとしている。

auじぶん銀行を騙るフィッシングメール

4月24日以降、auじぶん銀行を騙るフィッシングメールが拡散している。送られてくるメールのタイトル例は以下の通り。

  • 【auじぶん銀行】お取引目的等のご確認のお願い
  • 【重要・緊急】auじぶん銀行からの重要なお知らせ

メールでは、犯罪収益移転防止法に基づき取引の目的などを確認しているなどと記載。いくつかの質問があると称してリンクへと誘導する。リンク先はauじぶん銀行を模したフィッシングサイトで、お客さま番号とログインパスワードの入力欄がある。4月24日以降もフィッシングサイトは稼働中とのことなので注意されたい。