正規サイトへの不正アクセス、不正ログインが相次いで発生している。被害防止のため、オンラインサービスやオンラインショップでパスワードの使い回しをしないよう留意したい。
■タミヤの通販サイトに不正アクセス、顧客情報10万7000件が漏えいの恐れ
模型のトップブランドとして知られるタミヤ（本社：静岡市駿河区）は7月21日、運営するオンライン通販サイト「タミヤショップオンライン」に外部から不正アクセスがあり、顧客情報の一部が流出した可能性があると発表した。発表によると、7月6日にJPCERT コーディネーションセンターから通報があり、セキュリティ専門の第三者機関を交えて調査した結果、Webサーバーへの不正アクセスの痕跡、顧客の個人情報が漏えいしている可能性が認められた。クレジットカードおよび決済情報は流出していない。
漏えいの可能性がある個人情報は、同ショップでアカウント登録した顧客情報が最大10万2891件、「TRFプロジェクトサポーター」で会員登録した顧客情報が最大653件、見学予約をした顧客情報最大3824件。情報内容はショップ顧客とTRFプロジェクトサポーターは共に氏名、住所、郵便番号、電話番号、ログイン用IDとなるメールアドレス、暗号化されたログイン用パスワード。見学予約客は氏名、住所、郵便番号、電話番号、メールアドレス。
同社は会員に対しお詫びと注意喚起のメールを送信した。ログイン用パスワードは暗号化されているが、念のため他のオンラインサービスで同じパスワードを使用している場合は変更するよう、注意を呼びかけている。
・不正アクセス発生に関するお詫び（タミヤ）
http://www.tamiya.com/japan/cms/customerservice/3804-20150721.html
・不正アクセス発生に関する調査報告と情報流出の可能性に関するお詫び（タミヤショップオンライン）
http://tamiyashop.jp/shop/index.html
■「MAPPLEトラベル」に不正アクセス、メルアド8800件とPW8400件漏えいの恐れ
地図・旅行情報の提供事業を展開する昭文社（本社：東京都千代田）は7月17日、同社が運営する宿泊予約サイト「MAPPLEトラベル」のサーバーが不正アクセスを受け、個人情報が流出した可能性があると発表した。発表によると、15日午前10時頃に、サイト運用委託先サーバーへの集中アクセスを把握し、原因の調査を開始した。同10時15分頃に不正アクセス元IPアドレスを遮断し、対策と状況把握に努めた。その結果、2007年4月11日～2010年3月26日の間に、MAPPLEトラベル（旧「たびえーる.net」含む）に会員登録をした顧客のメールアドレス約8800件、およびそのメールアドレスと符号するパスワード約8400件が流出した可能性があることがわかった。個人の氏名、住所、電話番号、クレジットカード情報、宿泊予約情報等は流出していない。同社は該当する顧客に対し、登録メールアドレス宛てに個別に案内を送信した。不正利用防止のため、MAPPLEトラベルは現在、該当顧客のログインパスワードを一時的に無効としている。
・不正アクセスによる情報流出の可能性に関するお知らせとお詫び（昭文社）
http://travel.mapple.net/20150717.html
■セシール通販ショップに不正アクセス、不正受注や顧客情報改ざん・流出が判明
通信販売事業等のディノス・セシール（本店：東京都中野区）は7月16日、運営する通販サイト「セシールオンラインショップ」が不正アクセスを受け、顧客情報を悪用した不正受注被害が発生したと発表した。その際、顧客情報の一部が改ざんされ流出した可能性も確認された。
発表によると、7月13日午後5時過ぎに不審な注文を発見して調査したところ、不正アクセスによる商品の不正受注被害が確認された。顧客4名の名義を利用し、カード決済にて、同じ届け先に商品をギフト配送を指定する手口だった。15日夕方までに、不正受注は合わせて10件（10名）、不正受注の合計は161万5423円（税込）となることが判明した。顧客には実被害は発生しておらず、配送の差し止め等の対応により、同社の実被害は3件、55万6972円（税込）となった。また、同社のもう一つの通販事業「ディノス」においても1名の顧客情報に不正ログインがあったことが確認された。
現在、判明している被害状況は、個人情報が改ざんされた顧客件数は「セシール」では上記10名を含む14名で、改ざんされた情報はメールアドレス（1名は自宅住所も改ざん）。複数項目の顧客情報が流出した可能性がある顧客件数は、「セシール」で24名（上記10名を含む）。流出の可能性がある項目は、顧客番号、氏名、住所（自宅・勤務先・その他届け先）、自宅電話、生年月日、性別（顧客によって該当項目が異なる）。氏名のみ流出した可能性がある顧客件数は「セシール」で127名、「ディノス」で1名。登録カード情報は流出していない。
この不正アクセスに使われたID（メールアドレス）とパスワードは、同社内での内部流出や、サイト攻撃によって取得されたものではなく、第三者が外部で不正に取得したと思われるものが利用され、特定のIPアドレスから合計151名の顧客情報に不正アクセスがあったことが確認されている。同社は、該当顧客への連絡や被害防止のためのログイン機能停止、全顧客への注意喚起など、必要な対策を講じている。
・弊社オンラインショップへの不正アクセス並びに不正受注被害について[PDF]（ディノス・セシール）
http://www.dinos-cecile.co.jp/pdf/topics_20150716.pdf
（2015/07/23 ネットセキュリティニュース）