チップス
どんぐり大学卒、一般企業の情報システム部で働く若手エンジニア。
入社1〜3年目らしい悩みを抱えつつ、日々の運用やセキュリティ対応に奮闘中。慌てんぼうだが素直で吸収力が高く、ボスに鍛えられながら着実に成長している。
ボス
セキュリティ、インフラ、運用の修羅場をくぐってきた歴戦のエンジニア。サイバーセキュリティラボの所長でボスと呼ばれている。
現場視点と経営視点の両方から、本当に使えるセキュリティとキャリア戦略を叩き込む。口は悪いが面倒見はよく、若手育成と実践的な情報発信に力を注いでいる。
@boss_sec_labo
「阪急や阪神の百貨店で会員登録しているけど、自分の情報も漏れたの？」
「カード番号の一部が漏れたら、不正利用されるの？」
チップスボス、阪急阪神百貨店の会員情報が126万件も漏れたって聞いたでしゅ！
ボスグループ共通の会員ID「H2O ID」だな。
百貨店の予約サイトが入口になった。
チップス予約サイトから、どうして会員の情報まで届いちゃうんでしゅか？
ボス予約サイトを経由して、奥の顧客管理システムまで入られたからだ。
入口がひとつでも、奥がつながっていれば被害は広がる。
ひとつのIDで複数のサービスを使える仕組みは便利な反面、どこか一か所が破られたときの影響が大きくなりがちです。
この記事では、エイチ・ツー・オー リテイリングの発表をもとに事案の経緯と漏えいした情報、共通IDを持つ企業が学べる点を整理します。
3行で分かるニュースのポイント
共通IDの怖さが分かれば、自社のシステムで見直すべき点も見えてくるはずです。
オススメ求人・フリーランス案件
【AIエージェント・セキュリティ・ガバナンス検討支援】愛知県・名古屋（基本リモート）／要件定義・ガバナンス設計
【社内インフラ・M365セキュリティ施策の推進】東京・赤坂（常駐）／Entra ID・Intune・ゼロトラスト
【セキュリティ運用体制の改善・推進】東京・勝どき（常駐）／運用・コンサルティング
【ISMS認証取得支援・PMO（3拠点）】東京都（赤坂駅・リモート併用）／セキュリティマネジメント
【大手企業のセキュリティ推進・脆弱性診断対応】東京都・田町（常駐）／脆弱性レポート・情シス業務
【大手リユース企業のSOC/CSIRT運用・インシデント対応】東京都・飯田橋（リモート併用）／EDR・SIEM・運用自動化
【脆弱性管理・診断基盤の内製化推進】東京都（フルリモート）／ツール導入・セキュリティ運用
【セキュリティ企画推進・コンサルタント】大阪（リモート併用）／セキュリティ戦略・ポリシー策定
【セキュリティ基準準拠・運用改善支援（NIST・ISMS）】豊洲（リモート併用）／PMO
【社内セキュリティ技術コンサルティング】東京・渋谷（常駐）／インフラ全般・設計レビュー・最新技術調査
社内SE【年収700～1500万円】セキュリティ・インフラの構築・運用
【東証プライム】情報セキュリティマネージャー候補・事業成長支援（850～1100万円）
【年収500〜800万円】日立グループ｜自動車サイバーセキュリティコンサルタント（横浜・在宅可）
【三菱地所グループ】セキュリティエンジニア（マネジメント・エンジニアリング）年収628〜1200万円
【社内セキュリティ推進室長】800〜1100万円｜人材大手ディップ・リモートOK
【年収750〜1200万円】グローバル7拠点・プロダクトセキュリティエンジニア（東京）
【年収600～1000万円】IT人材紹介企業での社内SE（セキュリティ・ガバナンス）
プロダクトセキュリティエンジニア【AWS・GCP】年収650～1000万
【700～900万】セキュリティ診断テックリード
役員直下｜コーポレートIT・セキュリティ責任者候補【627～908万円】
入口は百貨店の予約サイトでしたが、被害はグループ共通の会員IDの情報に及びました。
FASHIONSNAPによると、事案の経緯は以下の通りです。
| 日付 | 出来事 |
|---|---|
| 10月16日 | 「阪急百貨店・阪神百貨店予約サイト」を経由した顧客管理システムへの不正アクセスを確認。外部からの不正な通信を遮断し、同サイトのシステム全体を停止 |
| 10月17日 | 「HANKYU HANSHIN E-STORES」と「Remo Order」でも不正アクセスを確認し、両サイトのシステム全体を停止 |
| 10月19日 | 約126万件の個人情報の漏えいを公表 |
H2O IDは、エイチ・ツー・オー リテイリングのグループ企業で共通して使える会員IDです。
同社は個人情報保護委員会へ報告し、所轄の警察署へ被害を申告しました。
熊本日日新聞によると、H2O IDのうち約126万件の個人情報の一部が漏えいしたとされています。
漏えいした主な情報は以下の通りです。
カード番号は下4桁に限られるため、それだけで決済に使われる可能性は低いとみられます。
一方で、名義や有効期限と組み合わせると、カード会社を装った連絡が本物らしく見えやすくなります。
チップス下4桁と有効期限まで知ってる人から電話が来たら、信じちゃいそうでしゅ……。
詳しい原因は調査中ですが、周辺のサイトが会員基盤への入口になりうる点は共通IDを持つ企業に共通の課題です。
同社は原因を究明中で、セキュリティ上の脆弱性を直したうえで、安全が確認され次第サービスを再開するとしています。
今回の特徴は、予約という限られた機能のサイトが、H2O IDの情報を管理する顧客管理システムへの入口になった点です。
共通IDの仕組みで一般に起きやすいリスクは以下の通りです。
| 仕組み | 起きやすいリスク |
|---|---|
| 複数サービスで同じ会員基盤を使う | 一か所の侵入で多くの会員の情報に届く |
| 周辺サイトから基盤へ問い合わせる | 小さなサイトの脆弱性が基盤全体の弱点になる |
| サービスごとに運営部門が分かれる | 監視や更新の水準がそろいにくい |
入口になりうるサイトの役割と、基盤に問い合わせられる範囲が見合っているかを確かめることが大切です。
企業側は、周辺サイトから会員基盤に渡す権限を必要な範囲に絞ることが欠かせません。
見直したい点は以下の通りです。
利用者は、同社を装った不審なメールやSMS、電話に注意してください。
同社も、こうした連絡が行われる可能性があるとして注意を呼びかけています。
阪急百貨店・阪神百貨店予約サイトを経由して顧客管理システムが不正アクセスを受け、グループ共通の会員ID「H2O ID」約126万件の個人情報の一部が漏えいしました。
入口は予約サイトでしたが、奥の顧客管理システムまで侵入され、3つのサービスが停止しています。
共通IDを使う企業は周辺サイトの権限を絞り、利用者は同社を装った連絡に注意することが大切です。
ボス入口は小さくても、奥がつながっていれば危ない。
権限は絞っておくことだ。
チップスボクの会社のサイトも、どこまで情報が見えるか確かめてみましゅ！
オススメ求人・フリーランス案件
【AIエージェント・セキュリティ・ガバナンス検討支援】愛知県・名古屋（基本リモート）／要件定義・ガバナンス設計
【社内インフラ・M365セキュリティ施策の推進】東京・赤坂（常駐）／Entra ID・Intune・ゼロトラスト
【セキュリティ運用体制の改善・推進】東京・勝どき（常駐）／運用・コンサルティング
【ISMS認証取得支援・PMO（3拠点）】東京都（赤坂駅・リモート併用）／セキュリティマネジメント
【大手企業のセキュリティ推進・脆弱性診断対応】東京都・田町（常駐）／脆弱性レポート・情シス業務
【大手リユース企業のSOC/CSIRT運用・インシデント対応】東京都・飯田橋（リモート併用）／EDR・SIEM・運用自動化
【脆弱性管理・診断基盤の内製化推進】東京都（フルリモート）／ツール導入・セキュリティ運用
【セキュリティ企画推進・コンサルタント】大阪（リモート併用）／セキュリティ戦略・ポリシー策定
【セキュリティ基準準拠・運用改善支援（NIST・ISMS）】豊洲（リモート併用）／PMO
【社内セキュリティ技術コンサルティング】東京・渋谷（常駐）／インフラ全般・設計レビュー・最新技術調査
社内SE【年収700～1500万円】セキュリティ・インフラの構築・運用
【東証プライム】情報セキュリティマネージャー候補・事業成長支援（850～1100万円）
【年収500〜800万円】日立グループ｜自動車サイバーセキュリティコンサルタント（横浜・在宅可）
【三菱地所グループ】セキュリティエンジニア（マネジメント・エンジニアリング）年収628〜1200万円
【社内セキュリティ推進室長】800〜1100万円｜人材大手ディップ・リモートOK
【年収750〜1200万円】グローバル7拠点・プロダクトセキュリティエンジニア（東京）
【年収600～1000万円】IT人材紹介企業での社内SE（セキュリティ・ガバナンス）
プロダクトセキュリティエンジニア【AWS・GCP】年収650～1000万
【700～900万】セキュリティ診断テックリード
役員直下｜コーポレートIT・セキュリティ責任者候補【627～908万円】
