ヤマト運輸、8年分の顧客情報約526万件流出 企業が確かめるべき3項目：セキュリティニュースアラート

ヤマト運輸の後払い決済サービスから、約8年分の顧客情報約526万件が持ち出された。侵入の原因はまだ公表されていない。顧客データを預かる企業が確かめられる項目とは。

[ITmedia]

　ヤマト運輸の後払い決済サービス「クロネコ代金後払いサービス」から持ち出された顧客情報は、約8年分に及ぶ。同社が2026年10月16日に公表した調査結果によると、外部に持ち出されたのは、2018年10月1日〜2026年9月28日に同サービスを利用した顧客の情報約526万件だ。氏名や住所、電話番号、メールアドレス、商品明細、申込番号などの社内管理用情報が含まれる。このうちメールアドレスを含む情報は約49万件だった。

　同社が不正アクセスを確認したのは9月28日だ。同日中にサービスを停止し、セキュリティ専門機関の協力を得て原因と影響範囲を調査した。結果、2021年2月5日〜2026年9月28日に顧客が指定した届け先の情報約5万件と、加盟店の情報約4100件も持ち出されていた。クレジットカード情報とパスワード情報は含まれていない。10月2日の発表で漏えいした可能性があるとしていた請求金額や債権残高、同サービスを担当する同社社員の氏名については、持ち出しは確認されなかった。同社によると二次被害は確認されていないが、不審なメールやSMS、電話についての問い合わせが寄せられている。

顧客データと顧客をどう守るか

　侵入の経路や原因は公表されていない。それでも、原因の公表を待たずに企業が自社で確かめられる項目はある。「ITmedia エンタープライズ」が報じてきた事例や調査から、3つを挙げる。

1. アクセス制御：　盗まれた認証情報だけでは、データを保管するシステムにログインできない仕組みになっているか
2. ログと監視：　侵入後の攻撃者の動きを追えるログを、必要な期間残しているか
3. 顧客の認証：　漏えいした個人情報を使って、顧客向けサービスの認証を突破されないか

　1つ目はアクセス制御だ。2024年には、データクラウドサービスを提供するSnowflakeを利用する企業のデータが狙われた。調査したセキュリティベンダーのMandiantによると、攻撃者はインフォスティーラー（情報窃取型マルウェア）で盗まれた認証情報を使い、顧客のSnowflakeインスタンスにアクセスしていた。Mandiantは侵害が成功した要因として、次の3点を挙げた。多要素認証（MFA）が有効になっていなかったこと、盗まれた認証情報が長期間変更されていなかったこと、アクセス元を限定する許可リストが設定されていなかったことだ（「Snowflakeのデータが狙われる　データを盗まれたアカウントの特徴」）。

　認証情報を起点とする侵入は、この事例に限らない。セキュリティベンダーのSophosが2026年3月に公表したレポートによると、同社が調査した661件の事例のうち67％で、認証情報の窃取や不正利用などID関連の問題が侵入の起点になった。661件のうち59％ではMFAが導入されていなかった（「Active Directory到達まで約3.4時間　サイバー攻撃の調査で分かった厳しい実態」）。

　2つ目はログと監視だ。同じレポートによると、侵入した攻撃者が「Active Directory」に到達するまでの時間の中央値は約3.4時間だった。データ窃取の79％は業務時間外に発生していた。保存期間の不足でログが欠落した例は前年の約2倍に増えた。増加の主な要因はファイアウォール機器で、既定のログ保存期間は7日、短いものでは24時間だった。Sophosは対策として、24時間の監視体制やセキュリティログの長期保存などを挙げている。

　3つ目は、漏えいした個人情報を悪用した攻撃から顧客を守る備えだ。攻撃者が標的の個人情報を事前に集め、本人を装って携帯電話会社に連絡する「SIMスワップ」という手口がある。攻撃者は標的の電話番号を自分が管理するSIMカードにひも付け、SMSを使う認証を突破する。PwCコンサルティングの村上純一氏（パートナー）は対策として、認証アプリや、FIDO Allianceが策定した認証規格「FIDO2」に準拠した多要素認証への移行などを挙げている（「攻撃者は“侵入ではなくログインを選ぶ”　アイデンティティー攻撃手法の最新動向」）。

　FIDO2に準拠した認証方式「パスキー」を、顧客向けサービスに採用する企業もある。SMBC日興証券は個人顧客向けWebサービスの認証にパスキーを採用し、約5カ月で実装して2026年1月に運用を始めた（「SMBC日興証券が『パスキー』で口座乗っ取り対策　約5カ月で実現したのはなぜ？」）。

　ただし、パスキーを狙う攻撃手法も公表されている。セキュリティベンダーのPalo Alto Networksが2026年8月に公表した手法は、端末のマルウェア感染と、パスキーのクラウド同期を前提に成立する。パスキーの仕組みそのものが破られたわけではない（「われらの救世主『パスキー』に暗雲？　壊れていないのに“合鍵”が作られる条件」）。

　クロネコ代金後払いサービスは10月9日に再開した。ヤマト運輸は今後、外部専門機関の助言の下で中長期的な対策を実施し、情報セキュリティ体制を強化するとしている。情報が持ち出された顧客には、同社が順次個別に連絡する。