D6/100
情報漏えい · 高
住友生命Vitality関連の不正アクセス 個人情報流出
ティアD · 参考情報 – 知っておくと良い
影響を受ける人： 住友生命Vitalityの利用者約8万人分の個人情報
ティアDの理由： 開発者に影響しない
影響範囲
攻撃
被害
修正
悪用確認済み · シークレットの流出
要点
- 住友生命保険が委託先NTTデータの受託システムへの不正アクセスにより、約8万人分の顧客情報が漏えいしたと発表した
- 対象は「住友生命Vitality体験版・企業型」と「Vitalityスマート」の利用者で、保険契約のない健康プログラム単独利用者が含まれる
- 約1,000人分にはクレジットカード番号の一部も含まれ、対象サービスの新規申し込みなどは停止されている
なぜ重要か
外部委託したシステムでも不正アクセスによる個人情報漏えいが起きることを示しており、受託・運用を担う開発者はアクセス管理や不正検知の体制を点検する必要がある。
ティアの根拠となったチェックリスト
チェックリスト · 10項目中2項目が「はい」
| いいえ | 開発者に影響 | 住友生命の顧客の個人情報を扱う保険会社向け健康プログラムで、開発者や運用チームが使うツールではない |
| いいえ | 基幹インフラ | 特定の保険会社向けシステムの侵害であり、ほぼすべてのチームが運用する基幹ソフトウェアではない |
| いいえ | 人気ツール | 一般に広く使われる開発技術ではなく、住友生命Vitalityの個別システムである |
| はい | 悪用確認済み | ITmedia NEWS: NTTデータは住友生命から受託したシステムが不正アクセスを受けたと発表 |
| いいえ | 公開エクスプロイト | サイバーセキュリティ.com・ITmedia: 公開された悪用コードや手順についての記述はない |
| いいえ | 認証不要のリモート攻撃 | ソースに攻撃経路や認証要否の記述がなく、確認できない |
| いいえ | 完全な乗っ取り | ソースは個人情報の漏えいを報じており、管理者権限の奪取やコード実行は記述されていない |
| はい | シークレットの流出 | サイバーセキュリティ.com: 約8万人分の顧客情報が漏えいし、約1,000人分にはクレジットカード番号の一部も含まれる |
| いいえ | サプライチェーン | 正規パッケージや公式アップデートへの悪意あるコード混入の記述はなく、不正アクセスによる情報漏えいである |
| いいえ | 修正なし | ITmedia NEWS: 新規申し込みなどを停止しているとあるが、脆弱性の修正状況は記述されていない |
タイムライン
すべての報道 · ソース4件
- 41分前 ↗
scan.netsecurity.ne.jp
NTTデータが住友生命から受託した「住友生命Vitality体験版・企業型」、「Vitalityスマート（福利厚生タイプ含む）」に不正アクセス - 2日前 ↗
ITmedia NEWS セキュリティ 最新記事一覧
NTTデータ、住友生命から受託したシステムに不正アクセス 「Vitality」利用者約8万人の情報漏えい - 3日前 ↗
サイバーセキュリティ.com
住友生命が委託先NTTデータの不正アクセスで約8万人の個人情報漏えいを発表 - 3日前 ↗
group.ntt
当社受託システムにおける個人情報漏えいについて