委託先が漏れても、お客様の窓口は自社。10月の配信サービス事故で見る3つの確認

今号のテーマ

11月から、AI LIFEは土日と祝日もお届けします。週末号は、少し読みやすい切り口にします。

きのう（10/31）は、古いデータを何年残すか、という話でした。自社が「持っている」データの話です。 今日はその隣、外のサービスに「預けている」データです。

10月後半は、メール配信サービスやネットショップの基盤（SaaS）で、不正アクセスの公表が続きました。中小企業でも、メルマガ配信やネットショップを外のサービスに任せている会社は多いと思います。一次発表を読んで、利用する側が確認しておくことを整理します。

011. 提供元の発表が「1店舗」でも、お客様にとっては店の事故

何が起きた

ネットショップ構築サービス「futureshop」を提供するフューチャーショップは、10月23日に第一報を出しました。

• 10月17日23時02分、ソフトウェアの脆弱性を悪用した不正アクセス。翌18日0時16分、利用店舗のうち1店舗の会員情報が取得された
• 対象件数は3,147,469件／1店舗。氏名・メールアドレス・住所・生年月日・電話番号・ハッシュ化したパスワードなど。クレジットカード情報は含まれない
• 個人情報保護委員会へは、当該店舗との連名で報告した

提供元の発表には「1店舗」としか書かれていません。でも、会員登録したお客様から見れば、事故を起こしたのは「いつも買っているお店」です。

Top Story今日いちばん大事な話

022. 提供元から漏れた「鍵」で、自社の名前のメールが送られた

何が起きた

メール配信サービス「ワイメール」を提供するイグレックスは、10月24日からお知らせを更新し続けています（10/30の第16報まで）。

• 第3報（10/24）：念のため、全利用者の配信環境の管理者用ログイン情報を更新
• 第5報（10/24）：ポータルサイトへの攻撃で漏えいした可能性がある認証情報により、一部の利用者の配信環境に侵入され、利用者が管理する宛先にフィッシングメールが送られた恐れ
• 第13報（10/28）：個人情報保護委員会から、法律に基づく報告を同社が連名でとりまとめて提出するよう依頼・指導があった

利用者の一つ、福島県双葉町のお知らせでは、10月24日午前8時ごろ、町のメールマガジンと同じアドレスから、実在するクレジットカード会社を装った不審メールが送られたとしています。第2報では、名前として登録された文字列とメールアドレスが最大60件流出した恐れがある、としています。

町は同じ日の午前10時ごろ、町の公式ホームページと公式SNSで、不審メールに対応しないよう呼びかけました。

033. 預けている側も、報告や通知の当事者になりうる

どういうことか

個人情報保護法は、個人データの漏えいなどで本人の権利利益を害するおそれが大きい事態が起きたとき、個人情報取扱事業者に、委員会への報告と本人への通知を求めています（第26条）。委託を受けた側は、委託元に通知すれば足りる場合がある、という書き方です。つまり、預けている側の会社が、報告や通知の当事者になりうるということです（個別の判断は、専門家に確認してください。この号は法的助言ではありません）。

週末に、次の3つだけ確認しておくと、いざというときに慌てません。

1. 預け先の一覧メルマガ配信、ネットショップ、予約、フォーム、そしてAIツール。どこに、どんな個人データを預けているか
2. 連絡が来たときの初動提供元から連絡が来たら、誰が受けて、誰がお客様向けのお知らせを書くか。お知らせを載せる場所（自社サイトが使えないときの代わりも）
3. 管理画面の鍵配信サービスや管理画面のログイン情報を、誰が持っているか。多要素認証を使えるなら使う

AIツールも、顧客の情報を入れるなら同じ「預け先」です。一覧の中に入れておきます。

In Briefほかにも

• アララ メッセージでも、メールアドレス約301万件の流出

  別のメール配信サービス「アララ メッセージ」のアララも、10月28日にメールアドレス約301万件の流出を確認したと発表しました。利用企業ごとの対象は、発表時点で調査中です。

まとめ　預け先も、自社の窓口のうち

1. 提供元の発表が「1店舗」でも、お客様にとっては自社の事故
2. 配信サービスの事故は、自社の名前で偽メールが届く形で表に出ることがある
3. 預け先の一覧・初動の担当・管理画面の鍵、の3つを先に決めておく

きのうは「持っているデータ」、今日は「預けているデータ」でした。どちらも、決めておくのは人の仕事です。

自社の預け先の一覧づくり、どこから始めるか一緒に整理します。