D5/100
情報漏えい · 高
三井住友海上の委託先PCSへの不正アクセスで契約者情報22万8000件が漏えい
ティアD · 参考情報 – 知っておくと良い
影響を受ける人： 三井住友海上の契約者約22万8000件の個人情報
ティアDの理由： 開発者に影響しない
影響範囲
攻撃
被害
修正
悪用確認済み · シークレットの流出
要点
- 三井住友海上火災保険は11月9日、ロードサービス業務の委託先であるプレステージ・コアソリューション（PCS）への不正アクセスを発表した
- この不正アクセスにより、契約者の個人情報約22万8000件が漏えいした
- 同日にはMSコンパスでも情報漏えいが確認されたと報じられている
なぜ重要か
業務委託先のシステムが侵害されると、委託元の顧客データも漏えいすることが改めて示された。個人情報を扱うシステムを開発・運用する立場では、委託先のアクセス管理や監視体制を点検する必要がある。
ティアの根拠となったチェックリスト
チェックリスト · 10項目中2項目が「はい」
| いいえ | 開発者に影響 | 委託先の業務システムで、開発者が使うソフトウェアや機器ではない。 |
| いいえ | 基幹インフラ | 保険会社の委託先の個人情報管理であり、ほぼすべてのチームが運用するソフトウェアではない。 |
| いいえ | 人気ツール | 一般的な開発技術やプラットフォームではなく、特定の委託先の業務システムである。 |
| はい | 悪用確認済み | サイバーセキュリティ.com：委託先PCSへの不正アクセスにより契約者情報が漏えいしたと報じている。 |
| いいえ | 公開エクスプロイト | サイバーセキュリティ.com：攻撃手法や公開されたエクスプロイトについての記述はない。 |
| いいえ | 認証不要のリモート攻撃 | サイバーセキュリティ.com：侵入経路や認証の要否についての記述はない。 |
| いいえ | 完全な乗っ取り | サイバーセキュリティ.com：コード実行や管理者権限の取得については報じていない。 |
| はい | シークレットの流出 | サイバーセキュリティ.com：契約者の個人情報約22万8000件が漏えいしたと発表したと報じている。 |
| いいえ | サプライチェーン | サイバーセキュリティ.com：正規ソフトウェアや配布経路への悪意あるコード混入の記述はない。 |
| いいえ | 修正なし | サイバーセキュリティ.com：脆弱性の修正状況についての記述はない。 |
タイムライン
三井住友海上火災保険が委託先PCSへの不正アクセスによる契約者情報漏えいを発表
サイバーセキュリティ.com
三井住友海上、委託先PCSへの不正アクセスで契約者情報22万8,000件が漏えい
出典
三井住友海上、委託先PCSへの不正アクセスで契約者情報22万8,000件が漏えい ↗ サイバーセキュリティ.com · 2時間前