[ITmedia ビジネスオンライン] 「顧客アプリ」は格好の餌食に 相次ぐ不正アクセス、自社を守る手立ては？

デジタル技術を用いて業務改善を目指すDXの必要性が叫ばれて久しい。しかし、ちまたには、形ばかりの残念なDX「がっかりDX」であふれている。とりわけ、人手不足が深刻な小売業でDXを成功させるには、どうすればいいのか。長年、小売業のDX支援を手掛けてきた郡司昇氏が解説する。

　企業を狙った不正アクセスなどによる情報漏えいが後を絶ちません。9月28日に「タイムズカー」の不正アクセスが公表されて以降、10月に入ってもコンビニ、ディスカウント店、外食、百貨店と、業種を問わず会員情報の流出が公表されています。

　調査が進むなかで、攻撃者がAIを使っていた例も明らかになってきました。そして攻撃の入り口になっていたのは、顧客向けに公開しているアプリやサービスでした。販促のために作ったアプリやポイント照会の画面が、攻撃者にとっては個人情報の取り出し口になっていたのです。

　本稿では、なぜ小売業やサービス業の顧客向けアプリが狙われるのか、AIで攻撃の何が変わったのか、守る側は何から手をつけるべきかを、公的機関やセキュリティ企業の分析をもとに整理します。

　本連載59回「『今だけ共有ID』『忙しいから私物スマホで』――日常の『うっかり』に潜むセキュリティの落とし穴」では、サイバー攻撃の入り口が共有IDや古い権限、未承認の生成AIといった日常業務の中にあると指摘しました。

　今回はその続きという位置付けです。最初に本稿の骨組みを表にしておきます。

【表1】今回の話の骨組み（以下、筆者作成。情報は全て執筆当時のもの）

DXで増やした顧客接点が「攻撃の入り口」に

　自分の登録情報やポイント残高を確かめられるアプリ画面は、利用者にとっては便利な機能です。ところが攻撃者にとっては、個人情報を抜き取る狙い目になります。

　10月8日にローソンが公表した「ローソンID」約215万件の漏えいは、アプリ上で利用者本人に情報を表示する仕組みに、不正にアクセスされたものでした。不正アクセスは9月12～14日に起き、同社が把握したのは10月7日の調査でした。

　小売業やサービス業は、こうしたサイバー攻撃の標的となりやすい入り口を特に多く持っています。販促やマーケティングの観点から、顧客接点を増やすDXが多く進められ、外部に公開したアプリやAPI（アプリとサーバーをつなぐ受付窓口）が数多くあるためです。会員照会やポイント交換など、顧客向けの機能が増えた分だけ、外から入れる場所も増えています。

【図1】小売業の「顧客接点」と攻撃者の狙い

　しかも、こうした仕組みの多くは、販促部門や事業部門が委託先と立ち上げたものです。情報システム部が全体を把握しているとは限りません。店舗でいえば、改装のたびに増えた通用口を、本部の誰も一覧にしていない状態です。もし、あなたの会社に「誰が管理しているのか分からないアプリやサービス」があるなら、特に小売りやサービス業では危険な状態です。その入り口を、攻撃者はAIを使って短時間で見つけます。