google-site-verification=tSMQ4FQhFx1RDsDFsOm7hyKcAa8tJgpr-DpePxzfGzM ゆめタウンのイズミ､漏えい｢なかった｣と判断したのは誰か | 見出しの手前

ゆめタウンのイズミ､漏えい｢なかった｣と判断したのは誰か

Contemporary buildings in Tokyo, Japan showcasing urban infrastructure. バズ

10月､｢ゆめタウン｣を展開する株式会社イズミ不正アクセス事案について､情報漏えいは｢なかったと判断｣という見出しの記事が配信されました｡同じ日にイズミが出した第二報を読むと､｢流出はなかった｣と判断したのはイズミではありません｡クラウド事業者の株式会社IDCフロンティアです｡イズミは､その判断を委託先から報告として受けたと書いています｡本記事では､イズミの発表､IDCFの第5報､各社の見出しを並べます｡誰が何を確認し､何がまだ確認されていないのかを整理します｡

何が報じられたか

IDCFの第5報によると､同社のクラウドサービス｢IDCFクラウド｣に対する第三者の不正アクセス､10月午前頃に始まりました｡

イズミは10月付で｢IDCフロンティア社で発生した不正アクセスに伴うメールアドレス等の漏えいの可能性につきまして｣を公表しました｡イズミは､会員向けメールマガジンの配信を事業者に委託しています｡その委託先が使っているのがIDCFのクラウドです｡その環境に､ネット通販｢ゆめオンライン｣と宅配サービス｢ゆめデリバリー｣のメルマガ配信に使う氏名とメールアドレスが保管されていました｡発表は対象を｢約40万件｣としています｡一方で､漏えいや不正利用の事実は確認されていないとも書いています｡

同じ10月､IDCFは第5報で｢外部へのデータの流出はなかったと判断｣と公表しました｡これを受けてイズミは10月付で第二報を出しています｡47NEWSと中国新聞デジタルは同日､｢展開の地場流通大手イズミ 不正アクセスによる情報漏えいは｣という見出しで配信しました｡

原典に当たる

イズミの10月の発表は､対象を次のように書いています｡

  • 対象サービス: ゆめオンライン､ゆめデリバリー
  • 件数: 約40万件
  • 項目: 氏名とメールアドレス
  • 補足: 漏えいの可能性がある情報は暗号化されている
  • 対象外: 住所､電話番号､クレジットカード番号は､本件で漏えいする可能性はない

単位は｢人｣ではなく｢件｣です｡しかも｢最大｣の値です｡同じ人が両方のサービスに登録している場合に名寄せしたのかどうかは､資料に書かれていません｡

IDCFの第5報は､外部のセキュリティ専門企業と連携して調べた結果だと説明しています｡調べた項目は4つです｡侵入経路､各種ログ､攻撃者が置いたファイルや実行した処理､仮想サーバー内のデータが外へ持ち出された痕跡の有無です｡

結論の範囲は限られています｡対象は東日本リージョン1のうち4つのゾーンある仮想サーバー内のデータです｡ここで､データの照会や持ち出しを示す痕跡と､それを裏付ける事実は確認されませんでした｡不正利用などの二次被害も｢現時点では｣確認されていません｡第5報は､この2つの事実を根拠に｢流出はなかったと判断｣しています｡同じリージョンの残り2ゾーンと他のリージョンは､サービスに影響はないものの､調べ続けているとしています｡

第5報には､ほかに2つの数字があります｡1つは､障害の影響を受けた495の企業･自治体のうち､スナップショット機能を使っていたでバックアップを取り出せると確認したことです｡もう1つは､管理用の｢IDCFクラウドポータル｣で48社の登録情報が不正に照会されたことです｡そのうち2社には､担当者の個人名を含む可能性のあるメールアドレスが入っていました｡

イズミの10月の第二報は､この第5報の内容を伝えるものです｡文末は｢と弊社の委託先会社から報告を受けております｣です｡IDCFが判断し､委託先がそれをイズミに伝え､イズミがそれを公表した､という3段の構造が本文に書かれています｡

個人情報保護法施行規則の第第4号は､本人の数が千人を超える漏えい等やそのおそれがある事態を､個人情報保護委員会への報告対象としています｡ただし同条は､高度な暗号化などの措置をした個人データを対象から除いています｡イズミのの発表には､委員会に報告したかどうか､暗号化がこの基準に当たるかどうかは書かれていません｡

報道との差分

各社の見出しのうち､判断の主語がどこに置かれたかを並べます｡

媒体･日付 見出しの要素 判断の主語
NHK 10月 ｢最大約40万件漏えいの可能性｣ イズミ
琉球新報 10月以降 ｢40万件 漏えい可能性｣ イズミ
RCC中国放送 10月以降 ｢最大40万件情報漏洩の可能性｣ イズミ
日本テレビ 10月以降 ｢情報漏えいなかった｣ IDCF
NHK 10月 ｢“流出なし”の報告受けた｣ イズミが報告を受けた
47NEWS･中国新聞 10月 ｢なかったと判断｣ 見出しの上ではイズミとも読める

差分は3つあります｡1つ目は主語です｡第二報の本文では､判断したのはIDCFで､イズミは報告を受けた側です｡NHKのの見出しは｢報告受けた｣を残しています｡47NEWSと中国新聞の見出しは企業名イズミの直後に｢なかったと判断｣を置いているため､イズミ自身が判断したようにも読めます｡

2つ目は範囲です｡IDCFの判断は4ゾーンの仮想サーバーに限ったもので､｢現時点では｣という条件も付いています｡の見出しには､どちらも入っていません｡

3つ目はの見出しで落ちた要素です｡｢暗号化されている｣｢住所や電話番号は対象外｣は､確認した見出しのどれにも入っていません｡琉球新報の見出しは｢最大｣｢約｣も省いています｡

なぜそうなったか

主語が分かりにくくなった最大の理由は､伝わる経路の構造にあります｡イズミはIDCFと直接契約しているのではなく､委託先がIDCFを使っています｡そのためイズミは自社で痕跡を調べられず､IDCFの結論を委託先経由で伝えることしかできません｡第二報の｢報告を受けております｣という書き方は､この立場をそのまま表しています｡見出しは字数が限られるため､この3段の伝言が1つの主語にまとめられやすくなります｡

どの見出しも社名より先に｢ゆめタウン｣を置いています｡社名のイズミより店舗名のほうが読者に伝わりやすいという判断だと考えられます｡ただし資料からは確認できません｡その結果､見出しの主役はイズミになり､判断した主体のIDCFは見出しの外に出ます｡

の発表と第5報が同じ日に出たことも影響しています｡NHKのの記事はに配信されました｡IDCFの第5報を伝えるINTERNET Watchの記事はの公開です｡資料からは確認できませんが､イズミの目は第5報より前に出された可能性があります｡そうだとすれば､同じ日のうちに｢可能性｣と｢なかった｣が並び､後の第二報でその食い違いが解消された形になります｡

の前例も背景にあります｡イズミは5月付で､同年2月のランサムウェア被害を公表しました｡このとき､閲覧された可能性を否定できない情報として､ゆめカード会員情報を最大と示しています｡今回は2度目の不正アクセスの報告です｡地元の媒体が結論の変化を見出しの中心に置いたことは､この経緯と合っています｡ただし編集の判断は資料からは確認できません｡

分からなかったこと

  • イズミのメルマガ配信を受けている委託先の社名は､発表に書かれていません｡
  • 委託先のサーバーが第5報の4ゾーンにあったかどうかを､直接書いた資料はありません｡第二報の書き方から､そう読めるだけです｡
  • 暗号化の方式と､それが施行規則のいう｢高度な暗号化｣に当たるかどうかは分かりません｡
  • 個人情報保護委員会に報告したかどうかは､発表に書かれていません｡
  • の発表で予告したお詫びメールが､第二報の後に送られたかどうかは確認できていません｡
  • 47NEWSの記事本文は取得できず､見出しだけで比べています｡
  • IDCF第5報の公開時刻は､ページに日付しかないため分かりません｡

出典

  • 株式会社イズミ｢IDC フロンティア社で発生した不正アクセスに伴うメールアドレス等の漏えいの可能性につきまして｣10月 https://www.izumi.co.jp/news_release/assets/1009fd34c5a2ee0f13fd599c84c3a7f2_1.pdf
  • 株式会社イズミ｢IDC フロンティア社で発生した不正アクセスに伴うメールアドレス等の漏えいの可能性につきまして｣10月 https://www.izumi.co.jp/news_release/assets/dc18e543b048e2f1a4d596bb0035aaaf.pdf
  • 株式会社IDCフロンティア｢不正アクセスによる障害に関する調査の進捗について｣10月 https://www.idcf.jp/news/topics/20261014001
  • 株式会社イズミ｢当社システムに対する外部攻撃に伴う個人情報に関するお知らせとお詫び｣5月 https://www.izumi.co.jp/corp/outline/news_release/pdf/2024/0509news_01.pdf
  • 個人情報の保護に関する法律施行規則 第 https://laws.e-gov.go.jp/law/428M60020000003
  • 47NEWS 10月 https://www.47news.jp/15093092.html
  • 中国新聞デジタル 10月 https://www.chugoku-np.co.jp/articles/-/910732
  • NHK 10月 https://news.web.nhk/newsweb/na/nd-20261014de59111
  • NHK 10月 https://news.web.nhk/newsweb/na/nd-20261016de60643
  • 琉球新報 https://ryukyushimpo.jp/economics/entry-5556297.html
  • RCC中国放送 https://news.yahoo.co.jp/articles/f2610fa2af00bbd7994adcd0a5a40c4f462478d8
  • 日本テレビ https://news.yahoo.co.jp/articles/95ce9938a159f953b591eaf89a00e516a55f1e0d
  • INTERNET Watch 10月 https://internet.watch.impress.co.jp/docs/news/2148166.html
※本記事は報道・公開情報をもとに作成した速報であり､内容が後に更新・訂正される場合があります｡最新かつ正確な情報は､一次情報や公式発表をご確認ください｡

コメント

タイトルとURLをコピーしました