[ITmedia News] シチズン時計、委託先への不正アクセスで約10万人分の個人情報漏えいか 大和証券と同じサービスが原因に

著者 梅林日奈子

[ITmedia]

　シチズン時計は10月6日、問い合わせ受付業務の委託先に不正アクセスがあり、約10万人分の個人情報が漏えいした可能性があると発表した。対象は、同社の腕時計ブランド「シチズン」「ブローバ」「フレデリック・コンスタント」の各Webサイトに設置したフォームで受け付けた問い合わせ情報。自社システムへの不正アクセスは確認していないとしている。

　漏えいした可能性があるのは、3日時点で問い合わせ受付システムに保存されていた氏名、住所、電話番号、メールアドレスなど。問い合わせ内容欄に銀行口座情報やクレジットカード情報などを記載していた場合は、それらも漏えいした可能性があるという。

　不正アクセスを受けたのは、FAQシステム「i-ask」などを提供するスカラコミュニケーションズ（東京都渋谷区）のサーバ。親会社のスカラ（東京都渋谷区）が6日に公表した内容によると、2日午後8時30分ごろから3日午前8時ごろにかけて、第三者がi-askの管理サイトに不正ログインし、サーバに不正なプログラムを設置したという。スカラコミュニケーションズは3日朝にアクセスを遮断し、同日中に顧客へ報告した。

スカラコミュニケーションズへの不正アクセスの概要（出典：スカラからのお知らせ）

　シチズン時計によると、影響は委託先のシステムに保存していた情報に限られる。漏えいした可能性がある情報を使って、公式ECサイトや会員制サービス「MY CITIZEN」「シチズン オーナーズクラブ」、生産システム、社内ネットワークにアクセスすることもできないという。6日時点で、今回の不正アクセスに起因する二次被害は確認していない。

　シチズン時計は対象者へ個別に連絡するとともに、専用の問い合わせフォームを設置した。同社や関係者を装った不審なメールなどに注意し、個人情報の提供や添付ファイルの開封、URLへのアクセスを控えるよう呼び掛けている。個人情報保護委員会への報告と、警察署への相談も済ませたという。

　なお、同社は以前から問い合わせ受付業務を別のシステムへ移行しており、今回不正アクセスを受けたシステムは新規の問い合わせ受付には使っていない。今回の不正アクセスとは無関係に10月中旬に利用を終了する予定で、移行完了後、保存されている個人情報を全て削除するとしている。

　スカラコミュニケーションズへの不正アクセスを巡っては、大和証券も5日、同社が提供する問い合わせ管理サービスへの不正アクセスにより、口座番号などを含む約22万件の情報が漏えいした可能性があると発表している。

　スカラによると、シチズン時計や大和証券を含め、同じサーバ上に保存されていた最大5社分の問い合わせ情報、延べ最大71万3126件が漏えいした可能性があるという。同じ利用者による複数回の問い合わせを重複して数えているため、実際の対象人数は調査中としている。