不正アクセスを受けて情報が流出する事故が相次いで報告された。クレジットカードが不正に利用される被害も発生している。流出の規模が大きいもの、クレジットカードの情報が流出したものをまとめた。
■キルフェボンWEB STORE――会員メールアドレスとパスワード3万7149件流出
洋菓子店「キルフェボン」を運営するラッシュ（本社：静岡市葵区）は5日、「キルフェボン WEB STORE」が外部から不正アクセスを受け、会員の情報が流出したと発表、11日に続報を公開した。
同社によると、サイト内の脆弱性を突かれ、同WEB STOREに登録している一部の会員のメールアドレスとパスワードが流出した。流出数は3万7149件。4日に外部から流出の可能性を指摘され、調査の結果、事態が判明した。この件では、流出した情報が海外のWebサイト1か所で公開されていたことがわかっている。11日の時点で、当該サイトから情報は削除されているという。
同社は全会員のパスワードをリセットした上で、メールを送って変更を依頼しているほか、メールアドレスとパスワードを他のサービスでも使い回している場合は変更してほしいと呼びかけている。
・メールアドレスおよびパスワード情報流出に関するお詫びとご報告（キルフェボン）
http://www.quil-fait-bon.com/news/?twn=263&i=2
■森永乳業通販サイト――顧客情報9万2822件流出のおそれ、不正利用被害も発生
森永乳業（本社：東京都港区）は5月9日、同社が運営する「健康食品通販サイト」から顧客情報が流出した可能性があると発表、6月4日に続報を公開した。
同社によると、当該サイトでは2017年10月16日にサーバーの入れ替えを実施したが、入れ替え前の旧サーバーに存在した脆弱性を突かれて流出に至ったとみられている。最大で、サイトを開設した2012年1月から2017年10月16日までの利用者9万2822名について、氏名、住所、電話番号、メールアドレス、性別、職業、生年月日、届け先情報などが流出した可能性がある。さらに、このうち2015年1月7日以降にカード決済を行った最大2万9773名については、カード番号、名義、有効期限も流出した可能性がある。セキュリティコードは流出していない。該当者にはメールと書面で連絡している。
この件ではカードの不正利用も発生しており、4日の時点で約300件、約2000万円の被害が確認されている。
・健康食品通販サイトにおけるお客さま情報の流出に関するお詫びと調査結果のお知らせ（森永乳業）
http://www.morinagamilk.co.jp/information2/newsentry-2900.html
・（第一報）健康食品通販サイトにおけるお客さま情報の流出懸念に関するお知らせ（森永乳業）
http://www.morinagamilk.co.jp/information2/newsentry-2876.html
■MS&Consulting――登録情報57万件流出のおそれ
覆面調査サービスなどを手掛けるMS&Consulting（本社：東京都中央区）は5月14日、同社が運営する「ミステリーショッピングリサーチ」のWebサイトが不正アクセスを受け、登録会員の情報が流出したおそれがあると発表、6月1日に続報を公開した。
同社によると、2000年5月から2018年5月2日までに登録した会員のメールアドレス、パスワード、電話番号約57万件が流出した可能性がある。SQLインジェクション攻撃を受けて流出に至った。同社では当該攻撃への対策としてWebアプリケーションファイヤーウォール（WAF）を導入していたが、設定に誤りがあったため流出を防げなかったという。
また、第一報では5月2日に不正アクセスを受けたとされているが、外部専門機関による調査で、それ以前にも同様の不正アクセスを受けていたことが判明。流出の可能性がある件数が6119件から57万件に修正されている。該当者にはメールまたは電話で連絡している。
・当社ホームページへの不正アクセスによるご登録情報の流出可能性について（続報）―調査結果と再発防止策―[PDF]（MS&Consulting）
http://v4.eir-parts.net/v4Contents/View.aspx?cat=tdnet&sid=1596488
・当社ホームページへの不正アクセスによるご登録情報の流出可能性について[PDF]（MS&Consulting）
http://v4.eir-parts.net/v4Contents/View.aspx?cat=tdnet&sid=1585982
■こうのとり検査薬.NET――カード情報1万1314件流出のおそれ
排卵検査薬の個人輸入代行を行う「こうのとり検査薬.NET」が不正アクセスを受け、顧客のカード情報が流出した可能性があることが分かった。同サイトを運営する一康商事が5月23日に発表した。
同社によると、外部からWebアプリケーションの脆弱性を利用した攻撃を受け、流出に至った。流出した可能性があるのは、2017年8月7日から2018年1月18日の間にクレジット決済を新規で行った人のカード情報で、最大で1万1314件。カード会員名、カード番号、有効期限、セキュリティコードが含まれている。2018年1月にカード会社から決済代行会社を通じて指摘を受け、調査の結果、流出が判明した。該当者にはメールで連絡している。
・「こうのとり検査薬.NET」への不正アクセス発生についてのご報告とお詫び（一康商事）
https://kensayaku.net/html/user_data/info20180523.html
■ワールドインポートツールズ――カード情報1003件流出のおそれ
工具販売店「ワールドインポートツールズ」のECサイトが不正アクセスを受け、カード情報1003件が流出した可能性があることが分かった。同店およびECサイトを運営していたナカミツは2017年12月に廃業しており、代表清算人が5月21日に発表した。
発表によると、2017年4月20日から同7月26日までに同サイトでカード決済を利用した顧客が流出の対象。2017年7月26日にカード会社から決済代行会社を通じて指摘を受け、同社では外部機関に調査を依頼。その結果、不正アクセスの直接的な証跡は発見されなかったが、カード情報が抜き取られた可能性は否定できないことが判明したという。
カードに関する問い合わせは各カード会社に、それ以外については、同社が廃業していることにより、同サイトが利用していた決済代行会社のSMBCファイナンスサービスに問い合わせてほしいとされている。
・不正アクセスによるカード情報流出に関するお知らせとお詫び（ナカミツ）
http://www.worldimporttools.com/
■A-Web倶楽部――カード情報3412件流出のおそれ、不正利用被害も発生
コンタクトレンズのメニコンの子会社で、コンタクトレンズ販売を手掛けるダブリュ・アイ・システム（本社：東京都豊島区、販売店名：エースコンタクト）は5月17日、同社が運営する「A-Web（エース ウェブ）倶楽部」が不正アクセスを受け、宅配サービス利用者のクレジットカード情報が流出したと発表した。
同社によると、2017年12月17日から2018年3月27日の間に同サイトでカード決済をした顧客について、カードの会員名、番号、有効期限が3412件流出した可能性がある。Webアプリケーションの脆弱性を利用した外部からの攻撃を受け、流出に至った。
対象者にはメールと書面で連絡している。この件では、5月2日の時点で、27名、約668万円の不正利用被害が発生している。
・A－Web倶楽部「宅配サービス」におけるお客様情報流出に関するお詫びとご報告[PDF]（ダブリュ・アイ・システム）
https://goace.jp/files/user/pdf/180517.pdf
・連結子会社株式会社ダブリュ・アイ・システムのエースコンタクト会員専用サイト「A-Web倶楽部」におけるお客様情報流出に関するお詫びとお知らせ（メニコン）
http://www.menicon.co.jp/company/news/vol679.html
このほか、今年5月以降に公表された不正アクセス関連の事故として、以下が確認されている。
＜6月9日公表＞
・KLab ID への不正ログインに関するお知らせ（KLab）
http://www.klab.com/jp/press/info/detail/id=6034
＜6月6日公表、6月8日第2報公表＞
・弊社「セシールオンラインショップ」への"なりすまし"による不正アクセスについて[第2報][PDF]（ディノス・セシール）
https://www.dinos-cecile.co.jp/pdf/20180608_topics2.pdf
・弊社「セシールオンラインショップ」への"なりすまし"による不正アクセスについて[PDF]（ディノス・セシール） 06/06
https://www.cecile.co.jp/fst/information/c_20180606.pdf
＜4月5日公表、6月1日調査結果公表＞
・不正アクセスによるお客様情報の流出に関するお詫びと調査結果のご報告（冨美家）
http://www.kyoto-fumiya.co.jp/topics/
＜5月25日公表＞
・当社ネットワークへのサイバー攻撃に関するお知らせ（パーソルキャリア）
https://www.persol-career.co.jp/pressroom/news/corporate/2018/20180525_01/
＜5月25日公表＞
・鉄道総研ホームページへの不正アクセスに関するお知らせとお詫び[PDF]（鉄道総合技術研究所）
https://www.rtri.or.jp/ugf84300000000pw-att/notification.pdf
（2018/06/11 ネットセキュリティニュース）