ソフトバンク子会社IDC Frontierへのランサムウェア攻撃の影で、日本の大手企業が相次いで顧客データの流出可能性を開示した。JR東日本は約609万件、JR九州は約130万件の利用者アカウントが影響を受けた可能性があると発表し、いずれもIDC Frontier経由の被害と結びつけた。
クラウド被害の広がり
ブックオフグループホールディングスは会員データ管理子会社への不正アクセスで最大約643万人、カラオケチェーン「ビッグエコー」運営の第一興商は外部委託システム経由で約872万人分の個人情報が漏えいした可能性があるとした。旅行予約サイト「スカイチケット」運営のアドベンチャーは、別件のサイバー攻撃で約1464万人分の情報が影響を受けた可能性を示し、クレジットカード番号やパスポート番号の流出は確認されていないとした。
利用者への呼びかけ
各社は第三者による不正利用は確認できておらず、不審なメールや電話に注意するよう呼びかけている。鉄道事業の運行には影響がないとされる一方、週末の需要期に大量通知が重なる。
日本企業への含意
単一のクラウド基盤に依存する小売・交通・娯楽サービスが同時にリスクを抱える構図となり、委託先監査とインシデント対応の在り方が再び問われている。当局はIDC Frontierへの追加説明を求める動きになるとみられる。
業界団体は年末商戦前に委託ホスティングの依存関係を点検するよう呼びかけ、各社は契約の範囲で通知サービスを強化するとしている。日本には欧州のような統一的な被害救済制度はなく、今後の個人情報保護委員会の対応が注目される。