D5/100
情報漏えい · 高
マネックス証券、最大113万件の個人情報漏えいのおそれ
ティアD · 参考情報 – 知っておくと良い
影響を受ける人： オンライン口座開設で入力された顧客情報 最大113万件
ティアDの理由： 開発者に影響しない
影響範囲
攻撃
被害
修正
悪用確認済み · シークレットの流出
要点
- マネックス証券は、外部委託先が運営する一部の口座開設システムへの第三者による不正アクセスの試みを検知したと発表した
- 外部の専門機関によるフォレンジック調査の結果、最大113万件の個人情報が漏えいした可能性があると公表された
- 対象はオンライン口座開設時に入力された個人情報である
なぜ重要か
金融機関の口座開設機能を外部委託している場合、委託先のシステムも自社のセキュリティ管理範囲に含めて点検する必要があることを示す事例である。
ティアの根拠となったチェックリスト
チェックリスト · 10項目中2項目が「はい」
| いいえ | 開発者に影響 | 判定：証券会社の顧客向け口座開設システムであり、開発者向けではなく、IT業界外の企業が自社顧客だけに被害を与えた事案。 |
| いいえ | 基幹インフラ | 判定：基幹インフラのソフトウェアではなく、証券会社の外部委託先が運営する口座開設システムに関する事案。 |
| いいえ | 人気ツール | 判定：広く使われる開発技術やパッケージではなく、一社の口座開設システムに関する事案。 |
| はい | 悪用確認済み | EnterpriseZine：第三者による不正アクセスの試みを検知したと報じられており、攻撃が実際に観測された。 |
| いいえ | 公開エクスプロイト | EnterpriseZineの報道に、エクスプロイトや概念実証が公開されたという記述はない。 |
| いいえ | 認証不要のリモート攻撃 | EnterpriseZineの報道に、認証不要で遠隔から悪用できたという記述はない。 |
| いいえ | 完全な乗っ取り | EnterpriseZineの報道に、コード実行や管理者権限の取得があったという記述はない。 |
| はい | シークレットの流出 | EnterpriseZine：オンライン口座開設時の個人情報最大113万件が漏えいした可能性があると報じられている。 |
| いいえ | サプライチェーン | EnterpriseZineの報道に、正規パッケージや更新経路を通じた悪意あるコードの配布に関する記述はない。 |
| いいえ | 修正なし | EnterpriseZineの報道に、修正版が未公開であるという記述はない。 |
タイムライン
フォレンジック調査の結果、最大113万件の個人情報が漏えいした可能性があると公表
EnterpriseZine:新着一覧
マネックス証券、最大113万件の個人情報が漏えいした可能性 オンライン口座開設時に入力したものが対象
出典
マネックス証券、最大113万件の個人情報が漏えいした可能性 オンライン口座開設時に入力したものが対象 ↗ EnterpriseZine:新着一覧 · 1時間前