JR東日本、クラウド不正アクセス波及で最大206万件漏えいの恐れ

何が起きたか

JR東日本は10月9日、列車予約サービス「えきねっと」と会員制サービス「大人の休日倶楽部」で、最大約206万件の利用者情報が漏えいした可能性があると発表しました。原因は、7日にIDCフロンティアが公表したクラウドサービス「IDCFクラウド」への不正アクセスです。メール配信用の外部サービスに保存していた利用者情報が、第三者に閲覧・取得された恐れがあるといいます[1]。

漏えいの可能性があるのは、えきねっと会員の約167万件と、大人の休日倶楽部会員の約39万件です。えきねっとはメールアドレスのみが対象で、法人向けの「ビジネスえきねっと」会員は含まれません。大人の休日倶楽部では、メールアドレスに加え会員番号、クレジットカードの有効期限、生年月日が対象となります。氏名や住所、電話番号、クレジットカード番号については漏えいの可能性はないとしています[1]。

IDCFクラウドの障害は10月7日午前3時40分ごろに発生し、福島県白河市のデータセンターにある「東日本リージョン1」の一部が影響を受けました。対象は495の企業や自治体に及び、一部の仮想サーバではデータの取り出しや復元が困難な見通しだといいます[1][3]。IDCフロンティアは親会社のソフトバンクの法人部門を窓口に顧客対応を進めており、外部のセキュリティ専門企業とも連携して調査と復旧にあたっています[2]。

背景・解説

IDCFクラウドは、IDCフロンティアが提供する仮想サーバーなどのクラウド基盤サービスです。企業はこの基盤上に自社システムや外部委託先のシステムを構築し、業務に利用します。今回問題になったのは、JR東日本が直接契約していた基盤ではなく、メール配信を担う外部サービスがこの基盤を利用していた点です。委託先がどのクラウドを使っているかによって、発注元企業のリスクが左右される構図が今回の事態の核心です。

攻撃の手口はランサムウェアと呼ばれるものです。システムやデータを暗号化し、復旧と引き換えに金銭を要求する攻撃手法で、近年は企業・自治体のシステム停止や情報漏えいの原因として繰り返し報告されています。IDCフロンティアによると、今回の攻撃は10月7日未明に発生し、東日本リージョン1の一部ゾーンで仮想サーバーが停止、再起動もできない状態が続きました[3][4]。復元はサーバー側ではなく顧客自身が保持するバックアップデータからのみ可能という案内になっており、委託先企業のデータ管理体制そのものが被害の大きさを左右する状況です[2][3]。

不確かな点・注意

現時点で、JR東日本の発表は「漏えいした可能性がある」という段階にとどまり、実際に第三者が情報を閲覧・取得したかどうかは確認されていません[1]。IDCフロンティア側も、侵入経路や詳細な影響範囲について調査を継続している段階です[3]。

また、攻撃者を名乗る人物が管理コンソール上に残したとされるメッセージには、ハイパーバイザー239台への侵入やスナップショット55万件超の破壊など具体的な被害規模の数値が記されていましたが、IDCフロンティアはこれらの数字について「調査継続中」とだけ回答し、事実関係を確認していません[4]。したがって、攻撃者側が主張する被害規模をそのまま事実として扱うことは避けるべきです。

データの復元見通しについても、対象の4ゾーン以外では不正アクセスは確認されていないとする一方、同社は全リージョンの利用者に対してバックアップ取得を案内しており、影響範囲が今後広がる可能性を排除していません[3]。各社は自社や委託先からの続報を注視する必要があります。