日本
The Morning Dev

知っておくべきことだけを、毎朝

‹
 
D6/100

情報漏えい · 高

ニトリで最大3762万件の個人情報流出の恐れ

ティアD · 参考情報 – 知っておくと良い

影響を受ける人： ニトリの会員・購入者・法人会員の個人情報

ティアDの理由： 開発者に影響しない

影響範囲

攻撃

被害

修正

悪用確認済み · シークレットの流出

要点

  • ニトリホールディングスは11月9日、管理システムへの第三者による不正アクセスで最大3762万件の個人情報が外部に流出した可能性があると発表した
  • 発覚は11月6日で、10月中旬から下旬にかけて不正アクセスを受けていた可能性があるという
  • 流出の可能性があるのは会員や購入者、法人会員の情報で、ログインパスワードやクレジットカード情報は含まれないとしている

なぜ重要か

大規模な個人情報流出の事例であり、開発者にとっては管理システムへの不正アクセス対策や、個人情報の保管・アクセス権限の設計を見直す材料になる。

ティアの根拠となったチェックリスト

チェックリスト · 10項目中2項目が「はい」
いいえ開発者に影響家具・インテリア小売のニトリはIT業界外の企業で、被害は自社の顧客に限られるため該当しない
いいえ基幹インフラ被害は単一企業の管理システムに限られ、ほぼすべてのチームが運用する基幹ソフトウェアではない
いいえ人気ツール広く使われる開発技術やパッケージではなく、ニトリ1社のシステムへの侵入である
はい悪用確認済みITmedia NEWS: ニトリが管理するシステムへの不正アクセスが実際に発生したと報じられている
いいえ公開エクスプロイト各ソースは不正アクセスの発表のみで、公開されたエクスプロイトや手順への言及はない
いいえ認証不要のリモート攻撃各ソースは侵入経路や認証の有無に触れておらず、認証不要の遠隔悪用は確認できない
いいえ完全な乗っ取り各ソースは個人情報の流出を報じるのみで、管理者権限の取得やコード実行には言及していない
はいシークレットの流出CNET Japan: 最大3762万件の氏名・住所などの個人情報が流出した可能性があると報じられている
いいえサプライチェーン正規パッケージや更新経路を通じた悪意あるコードの配布は、どのソースにも記載がない
いいえ修正なし各ソースに修正の有無やバージョン情報の記載はなく、未修正と判断できる根拠がない

タイムライン

  1. 不正アクセスの発覚

  2. 最大3762万件の個人情報流出の可能性を発表

  3. internet.watch.impress.co.jp

    ニトリ、不正アクセスにより個人・法人会員の情報最大3762万件が流出の可能性

  4. サイバーセキュリティ.com

    ニトリホールディングスが不正アクセスを受け最大3,762万件の個人情報が流出した可能性

  5. watch.impress.co.jp

    ニトリ、最大3762万件の個人情報流出の恐れ 不正アクセス

  6. ITmedia NEWS 最新記事一覧

    ニトリに不正アクセス、最大3762万件の個人情報流出の可能性 法人会員も対象に

  7. feed.japan.cnet.com

    ニトリ、最大3762万件の個人情報流出の恐れ 氏名・住所など

  8. ＠IT Security&Trustフォーラム 最新記事一覧

    ニトリから「最大3762万件」の個人情報が流出か――EC注文データも対象に

すべての報道 · ソース6件

初出： · ソース6件 · 記事ページ · ティアの決め方