今週のセキュリティまとめ 11月1日〜7日

今週の動き

今週はメール配信サービスへの不正アクセスと大きな漏えいの公表が続き、国も対策を打ち出しています。記事ごとの詳しい内容はリンク先をご覧ください。

メール配信サービスの侵害が広がる

アララのメール配信サービスへの不正アクセスで、メールアドレス8,132万9,467件が持ち出されました。これはメールアドレスの数で、人数ではありません。11月6日の第3報で別のクラウド環境からの持ち出し324万9,492件が判明し、件数が増えています。クレジットカード番号は保有していないと説明しています。サービスは10月31日から止まっており、再開の時期は未定です。

同じサービスを使う組織の公表も続いています。三井不動産は13万3,323件の漏えいを公表し、横浜市と堺市は電子申請のメール機能に影響が出ました。

この3つに共通するのは、委託先を通じて使っていたサービスだったことです。三井不動産ではメールマガジンの配信の委託先が、横浜市と堺市では TKC に任せている電子申請システムが、アララのサービスを使っていました。漏えいの可能性の連絡が委託先から届いたのは、三井不動産と横浜市が11月2日、堺市が11月3日でした。

自社のシステムが無事でも、委託先が使うサービスから情報が漏れることがあります。委託先に聞くべき5つのことも参考にしてください。メールマガジンや通知メールを任せている先には、どの配信サービスを使っているかを聞きます。アララメッセージを使っていた場合は、自社のデータが含まれるかどうかと、渡していた項目を文書で確かめます。

大きな漏えいの公表

• ノジマオンライン：約700万件
• プレステージ・インターナショナル：最大約550万件
• @cosme：約300万人
• MUJI Card：約109万件に流出の可能性
• ファンくる：103万741件
• あいおいニッセイ同和損保：約44.4万件

数字の読み方には注意が要ります。プレステージ・インターナショナルの件数は重複を含む最大値で、人数は精査中です。MUJI Card はクレディセゾンではなく良品計画のシステムへの不正アクセスで、第三者がアクセスした可能性があるという段階です。

自社に引き寄せて見られる点もあります。MUJI Card の約109万件のうち約74.5万件は、退会や有効期限切れで今は使えないカードでした。クレディセゾンが過去に良品計画へ渡したカード番号が含まれており、この連携は2021年8月以降行っていないとしています。取引先に過去に渡したデータがどこに残っているかは、確かめておける項目です。ファンくるの原因は会員情報を取得する API の脆弱性でした。

国の動き

11月5日に、国家サイバー統括室が Web とアプリの基本対策の徹底を事業者に求めました。11月6日には、政府がサイバー緊急対策パッケージを決めました。同じ日に、金融庁も、漏えいした情報を使う偽メールへの注意を呼びかけています。

パッケージで中小企業に関わるのは、相談先と支援の拡充です。「サイバーセキュリティお助け隊サービス」に、被害発生時の診断、定期的なバックアップと復旧の支援、定期的な脆弱性診断などを加えます。全ての都道府県警察本部には法人専用の相談・通報窓口「サイバー被害110番（仮称）」を開く予定で、窓口は2026年中、専用ダイヤルは2026年度中の整備です。

金融庁の呼びかけは4点です。メールのリンクを安易に開かない、パスワードを使い回さない、フィッシング耐性のある多要素認証を使う、身に覚えのない取引の通知があれば金融機関へ連絡する、という内容で、社内向けの注意文に使えます。

更新が必要なソフト

Chrome 157 では213件、Firefox では計168件の脆弱性が直りました。Firefox の168件は10月27日の Firefox 159 の167件と、11月3日の 159.0.1 の1件を合わせた数です。Android の11月の更新も出ています。最も深刻な欠陥は利用者の操作なしで悪用できるもので、セキュリティパッチレベルが 2026-11-05 以降の端末は修正済みです。古い iPhone を狙う2024年の脆弱性の悪用も確認されました。

Microsoft の月例更新は毎月第2火曜日で、11月は米国時間の10日にあたります。来週に備えて、更新を当てる時間を確保しておきましょう。