日本
The Morning Dev

知っておくべきことだけを、毎朝

‹
 
B46/100

情報漏えい · 高

アララのメール配信サービス侵害 セガなど委託元へ顧客メールアドレス流出が拡大

ティアB · 今週中にパッチ – 次のスプリントで対応

影響を受ける人： アララのメール配信サービスを利用する企業と、その顧客のメールアドレス

ティアBの理由： 悪用確認済み または 公開エクスプロイト

影響範囲

攻撃

被害

修正

悪用確認済み · シークレットの流出

取るべき対応

  1. 自社が利用するメール配信の委託先が今回の事案の対象かを確認する
  2. 委託先の情報管理体制や保存データの範囲を契約・運用の両面で点検する

要点

  • メール配信委託先のアララが不正アクセスを受け、委託元の企業で顧客メールアドレスなどの流出が相次いで公表された
  • セガは2,196,044件、小学館は1,993,665件、学研ホールディングスは17社で793,060件の漏えいを確認したと発表した
  • 日経クロステックによると流出したかその恐れがあるメールアドレスは8,133万件に拡大した

なぜ重要か

自社のメール配信を外部サービスに委託している開発者は、委託先のセキュリティや保存データの範囲を見直す必要がある。委託先経由の被害は自社システムに侵入がなくても顧客情報の漏えいとして表面化する。

ティアの根拠となったチェックリスト

チェックリスト · 10項目中3項目が「はい」
はい開発者に影響メール配信サービスは企業のIT部門や運用チームが業務で利用するSaaSである
いいえ基幹インフラ特定企業向けのメール配信サービスで、ほぼすべてのチームが運用する基幹ソフトではない
いいえ人気ツール一般的な開発技術ではなく、ニッチな配信サービスである
はい悪用確認済み小学館の発表では、不正アクセスを受けて会員情報の漏えいを確認したとされる
いいえ公開エクスプロイトソースにエクスプロイトや概念実証の公開に関する記述はない
いいえ認証不要のリモート攻撃ソースに攻撃経路や認証の要否に関する記述はない
いいえ完全な乗っ取りソースにコード実行や管理者権限の取得に関する記述はなく、報じられているのは情報流出である
はいシークレットの流出CNET記事では、顧客のメールアドレス219万6044件が外部に流出したとされる
いいえサプライチェーンソースに悪意あるコードの配布や正規パッケージの侵害に関する記述はない
いいえ修正なしソースに修正版の提供状況に関する記述はない

タイムライン

  1. メール配信サービスを提供する事業者で最初の不審な動きが確認された（piyologによる）

  2. ブラストメールを運営するラクスライトクラウドのシステム監視で不審な動きのアラートが検知された

  3. セガがアララから流出は確認されていないとの報告を受けた

  4. 学研ホールディングスが第一報を公表した

  5. 小学館が会員情報約199万件の漏えいのおそれを公表した

  6. セガとセガ フェイブが約219万件の流出を発表した

  7. 学研ホールディングスが第二報で17社79万3,060件の漏えいを公表した

  8. サイバーセキュリティ.com

    セガとセガ フェイブが委託先アララへの不正アクセスでメールアドレス219万件流出

  9. サイバーセキュリティ.com

    小学館が委託先アララへの不正アクセスで会員情報約199万件の漏えいのおそれを発表

  10. piyolog

    相次ぐメール配信サービスへの不正アクセスについてまとめてみた

  11. feed.japan.cnet.com

    セガ、メールアドレス約220万件が流出 配信委託先に不正アクセス

  12. xtech.nikkei.com

    アララの情報流出8133万件に拡大、116件の公表から見えた被害の実態

  13. サイバーセキュリティ.com

    学研ホールディングスが委託先アララ経由で17社79万件超の漏えいを確認

  14. ＠IT Security&Trustフォーラム 最新記事一覧

    セガの220万件流出は氷山の一角 委託先侵害でメールアドレス8100万件が流出

すべての報道 · ソース7件

初出： · ソース7件 · 記事ページ · ティアの決め方