日本
The Morning Dev

知っておくべきことだけを、毎朝

‹
 
B46/100

情報漏えい · 高

アララのメール配信サービス侵害 内閣府など委託元へ流出が拡大

ティアB · 今週中にパッチ – 次のスプリントで対応

影響を受ける人： アララのメール配信を利用する委託元企业と顧客のメールアドレス

ティアBの理由： 悪用確認済み または 公開エクスプロイト

影響範囲

攻撃

被害

修正

悪用確認済み · シークレットの流出

取るべき対応

  1. 利用中のメール配信委託先が本件の対象かを各社の公表で確認する

要点

  • メール配信委託先のアララへの不正アクセスにより、委託元各社の顧客メールアドレスが流出した
  • セガは219万6044件、小学館は約199万件、学研HDは17社で79万3060件の流出を公表した
  • 日経クロステックによると流出したかその恐れがあるメールアドレスは8133万件に拡大した

なぜ重要か

メール配信を外部委託している企業は、委託先の侵害が自社顧客の個人情報流出につながることを示した事例である。委託先の管理と利用中サービスの確認が必要になる。

ティアの根拠となったチェックリスト

チェックリスト · 10項目中3項目が「はい」
はい開発者に影響メール配信のSaaSは企業のIT部門やマーケティング部門が利用する業務基盤であるため
いいえ基幹インフラ影響を受けたのはアララ1社のメール配信サービスであり、全チームが運用する基幹ソフトウェアではないため
いいえ人気ツールアララは特定のメール配信事業者であり、広く使われる開発技術やフレームワークではないため
はい悪用確認済み@IT Security&Trustフォーラム: 情報を持ち出された配信基盤が不審メールの送信にも悪用された
いいえ公開エクスプロイト各ソースは不正アクセスの発表と被害件数を報じており、公開されたエクスプロイトへの言及はない
いいえ認証不要のリモート攻撃各ソースは侵入経路や攻撃条件を具体的に報じておらず、認証不要で攻撃可能だとの記述はない
いいえ完全な乗っ取り各ソースは管理者権限の奪取やコード実行に言及しておらず、確認された被害は情報流出と不審メール送信である
はいシークレットの流出サイバーセキュリティ.com: セガ、小学館、千葉興業銀行などの顧客メールアドレスや会員情報が外部に流出した
いいえサプライチェーンソースは正規パッケージや更新への改ざんを報じておらず、委託先サービスへの不正アクセスによる情報流出である
いいえ修正なし各ソースは修正版の公開や再発防止策の完了について報じておらず、対策状況は確認できないため

タイムライン

  1. セガがアララから流出は確認されていないとの報告を受ける

  2. 学研ホールディングスが第一報で委託先アララ経由の不正アクセスを公表

  3. 小学館と千葉興業銀行がアララへの不正アクセスによる情報流出を公表

  4. セガがメールアドレス219万6044件の流出を公表

  5. 学研ホールディングスが第二報で17社79万3060件の漏えいを確認したと公表

  6. サイバーセキュリティ.com

    セガとセガ フェイブが委託先アララへの不正アクセスでメールアドレス219万件流出

  7. サイバーセキュリティ.com

    小学館が委託先アララへの不正アクセスで会員情報約199万件の漏えいのおそれを発表

  8. piyolog

    相次ぐメール配信サービスへの不正アクセスについてまとめてみた

  9. feed.japan.cnet.com

    セガ、メールアドレス約220万件が流出 配信委託先に不正アクセス

  10. 日経クロステックが流出件数が8133万件に拡大したと報じる

  11. xtech.nikkei.com

    アララの情報流出8133万件に拡大、116件の公表から見えた被害の実態

  12. サイバーセキュリティ.com

    学研ホールディングスが委託先アララ経由で17社79万件超の漏えいを確認

  13. ＠IT Security&Trustフォーラム 最新記事一覧

    セガの220万件流出は氷山の一角 委託先侵害でメールアドレス8100万件が流出

  14. サイバーセキュリティ.com

    千葉興業銀行の顧客メールアドレス17万1,260件がアララへの不正アクセスで流出

  15. ITmedia NEWS 最新記事一覧

    内閣府、メルマガ利用者のメアド6万件超漏えい 氏名なども流出の可能性 アララ不正アクセスで

すべての報道 · ソース9件

初出： · ソース9件 · 記事ページ · ティアの決め方