PCの物理破壊を外部委託→なぜかネット接続を検知 個人情報漏えいの可能性 「ぼんち揚」製造会社が謝罪

PCの物理破壊を依頼したはずが、なぜかネット接続を検知──せんべい屋「煎餅工房さがえ屋」を運営するぼんちは、そんな発表をした。

[松浦立樹，ITmedia]

　PCの物理破壊を依頼したはずが、なぜかネット接続を検知──せんべい屋「煎餅工房さがえ屋」を運営するぼんち（大阪市）は10月10日、そんな発表をした。同社は個人情報を保存したPCの廃棄処分を外部の委託業者に依頼。しかし、一部のPCが適切に廃棄されたことを確認できず、顧客の個人情報を漏えいした可能性があると明かした。

PCの物理破壊を依頼したはずが、なぜかネット接続を検知……　一体なぜ？

　ぼんちは3月12日、使用終了したPCの物理破壊によるデータ消去を伴う廃棄処分を外部業者に委託。しかし4月26日、そのうち1台のPCがWebに短時間接続したことを、セキュリティ監視ツールで検知した。ぼんちがこの事実を認識したのは6月2日で、その後に外部業者に事実確認を実施。結果、複数台のPCの廃棄状況が不明であることが9月1日に判明し、PC内の個人情報が漏えいした可能性があることが分かった。

　さらに調査を進めたところ、他にも個人情報を保存していたノートPC1台と個人情報を保存していなかったノートPC2台が適切に廃棄されたか確認できないことが判明した。なお、Web接続を検知したPCは1台のみだった。

　今回の事態により漏えいした可能性のある個人情報は、煎餅工房さがえ屋の直営店（本店、山形南店、S-PAL山形店、S-PAL仙台店）で商品を買って、会員登録をした利用者1万1900件分の氏名や性別、年齢、電話番号、郵便番号、住所、メールアドレス。2021年12月に実施した「おこめショコラ」試食モニターに申し込んだ人たち26件分の氏名や年齢、電話番号、郵便番号、住所、メールアドレス、Instagramアカウント情報も対象だ。

　クレジットカードの決済情報は含まれておらず、10日時点で第三者への個人情報の開示や不正利用は確認していないという。

　ぼんちは「PC廃棄の手順を社内で十分に周知できていなかったことや、委託先の選定と監督が不十分であったことが原因」と説明。今後は委託先の選定を見直す他、個人情報やPCの管理の徹底、PC廃棄手順の運用強化に努めるとしている。

　なお、PC廃棄を委託した外部業者の名前は明かしていない。

ぼんちの発表全文