チップス
どんぐり大学卒、一般企業の情報システム部で働く若手エンジニア。
入社1〜3年目らしい悩みを抱えつつ、日々の運用やセキュリティ対応に奮闘中。慌てんぼうだが素直で吸収力が高く、ボスに鍛えられながら着実に成長している。
ボス
セキュリティ、インフラ、運用の修羅場をくぐってきた歴戦のエンジニア。サイバーセキュリティラボの所長でボスと呼ばれている。
現場視点と経営視点の両方から、本当に使えるセキュリティとキャリア戦略を叩き込む。口は悪いが面倒見はよく、若手育成と実践的な情報発信に力を注いでいる。
@boss_sec_labo
「ふるさとチョイスで寄附したことがあるけど、自分の情報も漏れたの？」
「パスワードはハッシュ化されていたなら安心していいの？」
チップスボス、ふるさとチョイスから445万件も個人情報が漏れたって本当でしゅか！？
ボス運営するトラストバンクが10月20日に発表した。
会員の住所や電話番号まで含まれている。
チップスボクも去年使ったでしゅ……。
パスワードも盗まれたんでしゅか？
ボスハッシュ化された形で流出した。
だから同じパスワードを使い回していないかが勝負だな。
ふるさと納税サイトは、氏名や住所に加えて寄附の情報まで預ける場所なので、流出と聞けば不安になって当然です。
この記事では、トラストバンクの発表をもとに事案の経緯と流出した情報、利用者と企業が今やるべきことを整理します。
3行で分かるニュースのポイント
流出した項目の意味が分かれば、どこに気をつければよいかもはっきりするはずです。
オススメ求人・フリーランス案件
【AIエージェント・セキュリティ・ガバナンス検討支援】愛知県・名古屋（基本リモート）／要件定義・ガバナンス設計
【社内インフラ・M365セキュリティ施策の推進】東京・赤坂（常駐）／Entra ID・Intune・ゼロトラスト
【セキュリティ運用体制の改善・推進】東京・勝どき（常駐）／運用・コンサルティング
【ISMS認証取得支援・PMO（3拠点）】東京都（赤坂駅・リモート併用）／セキュリティマネジメント
【大手企業のセキュリティ推進・脆弱性診断対応】東京都・田町（常駐）／脆弱性レポート・情シス業務
【大手リユース企業のSOC/CSIRT運用・インシデント対応】東京都・飯田橋（リモート併用）／EDR・SIEM・運用自動化
【脆弱性管理・診断基盤の内製化推進】東京都（フルリモート）／ツール導入・セキュリティ運用
【セキュリティ企画推進・コンサルタント】大阪（リモート併用）／セキュリティ戦略・ポリシー策定
【セキュリティ基準準拠・運用改善支援（NIST・ISMS）】豊洲（リモート併用）／PMO
【社内セキュリティ技術コンサルティング】東京・渋谷（常駐）／インフラ全般・設計レビュー・最新技術調査
社内SE【年収700～1500万円】セキュリティ・インフラの構築・運用
【東証プライム】情報セキュリティマネージャー候補・事業成長支援（850～1100万円）
【年収500〜800万円】日立グループ｜自動車サイバーセキュリティコンサルタント（横浜・在宅可）
【三菱地所グループ】セキュリティエンジニア（マネジメント・エンジニアリング）年収628〜1200万円
【社内セキュリティ推進室長】800〜1100万円｜人材大手ディップ・リモートOK
【年収750〜1200万円】グローバル7拠点・プロダクトセキュリティエンジニア（東京）
【年収600～1000万円】IT人材紹介企業での社内SE（セキュリティ・ガバナンス）
プロダクトセキュリティエンジニア【AWS・GCP】年収650～1000万
【700～900万】セキュリティ診断テックリード
役員直下｜コーポレートIT・セキュリティ責任者候補【627～908万円】
不正アクセスから2日後に異常に気づき、その日のうちにサービスを止めた事案です。
トラストバンクの発表によると、事案の経緯は以下の通りです。
| 日付 | 出来事 |
|---|---|
| 10月17日 | 第三者による不正アクセスが発生 |
| 10月19日 | 通常と異なるアクセス傾向を把握し、確認したところ会員情報の流出が判明。15時50分に関連サービスを停止 |
| 10月20日 | 個人情報保護委員会へ報告し、事案を公表 |
| 10月21日 | 警察署へ被害を申告する予定 |
同社は外部の専門家と協力して原因の特定と詳しい調査を進めています。
流出した項目と件数は、今後の調査で変わる可能性があるとしています。
流出したのは、会員登録をした寄附者の情報445万4097件です。
流出した項目は以下の通りです。
寄附控除試算額は、控除の上限の目安として算出された金額です。
収入の水準が推し量れる情報が、連絡先とひと続きで流出した点が今回の特徴です。
件数や項目はケータイ Watchも同様に報じています。
チップス住所と電話番号と寄附の目安額まで……。
悪い人に使われたら怖いでしゅ。
原因はまだ明らかになっていませんが、流出した項目から想定できる二次被害ははっきりしています。
トラストバンクは、不正アクセスを受けた原因について詳しく公表していません。
発表では、不正アクセスによって検知した脆弱性を含めてセキュリティ対策を強化するとしています。
サービスの再開時期は未定で、調査結果が確定したら速やかに知らせるとしています。
企業側がこの事案から確かめたい点は以下の通りです。
今回は発生から2日で停止に至っており、検知の早さが被害の拡大を抑える鍵になることがわかります。
ハッシュ化されたパスワードは、そのままでは元の文字列が分からない形にしたものです。
ただし、単純なパスワードは総当たりなどで元の文字列を割り出される恐れがあります。
トラストバンクも、同じメールアドレスとパスワードの組み合わせをほかのサービスで使っている場合は変更を勧めています。
利用者が気をつけたい点は以下の通りです。
住所や電話番号、寄附の目安額を知っている相手からの連絡は本物らしく見えやすいため、公式サイトから確かめる習慣が役立ちます。
ふるさと納税サイト「ふるさとチョイス」が10月17日に不正アクセスを受け、会員445万4097件の氏名や住所、ハッシュ化されたパスワード、寄附控除試算額が流出しました。
トラストバンクは19日にサービスを止め、原因の調査を進めていますが、再開時期は決まっていません。
利用者はパスワードの使い回しを解消し、ふるさと納税を名乗る連絡に注意することが大切です。
ボス漏れた情報は戻らない。
だから次の被害を止める手を打つんだ。
チップス使い回してたパスワード、今すぐ全部変えましゅ！
オススメ求人・フリーランス案件
【AIエージェント・セキュリティ・ガバナンス検討支援】愛知県・名古屋（基本リモート）／要件定義・ガバナンス設計
【社内インフラ・M365セキュリティ施策の推進】東京・赤坂（常駐）／Entra ID・Intune・ゼロトラスト
【セキュリティ運用体制の改善・推進】東京・勝どき（常駐）／運用・コンサルティング
【ISMS認証取得支援・PMO（3拠点）】東京都（赤坂駅・リモート併用）／セキュリティマネジメント
【大手企業のセキュリティ推進・脆弱性診断対応】東京都・田町（常駐）／脆弱性レポート・情シス業務
【大手リユース企業のSOC/CSIRT運用・インシデント対応】東京都・飯田橋（リモート併用）／EDR・SIEM・運用自動化
【脆弱性管理・診断基盤の内製化推進】東京都（フルリモート）／ツール導入・セキュリティ運用
【セキュリティ企画推進・コンサルタント】大阪（リモート併用）／セキュリティ戦略・ポリシー策定
【セキュリティ基準準拠・運用改善支援（NIST・ISMS）】豊洲（リモート併用）／PMO
【社内セキュリティ技術コンサルティング】東京・渋谷（常駐）／インフラ全般・設計レビュー・最新技術調査
社内SE【年収700～1500万円】セキュリティ・インフラの構築・運用
【東証プライム】情報セキュリティマネージャー候補・事業成長支援（850～1100万円）
【年収500〜800万円】日立グループ｜自動車サイバーセキュリティコンサルタント（横浜・在宅可）
【三菱地所グループ】セキュリティエンジニア（マネジメント・エンジニアリング）年収628〜1200万円
【社内セキュリティ推進室長】800〜1100万円｜人材大手ディップ・リモートOK
【年収750〜1200万円】グローバル7拠点・プロダクトセキュリティエンジニア（東京）
【年収600～1000万円】IT人材紹介企業での社内SE（セキュリティ・ガバナンス）
プロダクトセキュリティエンジニア【AWS・GCP】年収650～1000万
【700～900万】セキュリティ診断テックリード
役員直下｜コーポレートIT・セキュリティ責任者候補【627～908万円】
