健康食品・化粧品の通信販売に関係する企業で、不正アクセスによる個人情報漏えいが相次いでいる。
　ウェルネスデイリーニュース編集部は、㈱ファンケル（神奈川県横浜市、三橋英記社長）、㈱アテニア（同、春田康児社長）、㈱アエナ（東京都世田谷区、馬場雅子社長）、㈱Eストアー（東京都港区、山村兼司社長）、ロート製薬㈱（大阪市生野区、瀬木英俊社長）の5社と、個人情報保護委員会、消費者庁、（独）国民生活センター、（公社）日本通信販売協会（JADMA）に対応状況を聞いた。

　ファンケルとアテニア、アエナ、Eストアーは、購入履歴などが漏えい対象に含まれていないと回答。ロート製薬は顧客との通話音声データや顧客管理システムの情報が不正取得された可能性について、引き続き調査している。消費者庁は、被害や二次被害の防止に向け、追加の注意喚起を行う予定を明らかにした。

ファンケル、24時間監視でも検知できず

　ファンケルとアテニアは10月16日、第三者による不正アクセスに伴う個人情報漏えいを公表した。対象となったのは、ファンケルが36万8,184人、アテニアが41万7,312人。両社の会員には重複があるという。

　ファンケルは23日付の本紙への回答で、サイバー攻撃に対する防御対策に加え、委託先による24時間365日の検知・監視を実施していたと説明。しかし、今回の攻撃は通常のWebアクセスとの判別が困難な手法だったため、攻撃として検知できなかったという。

　10月15日に内部調査を実施したきっかけについては、企業などへの不正アクセスが激化している状況を受け、監視・対策を強化するとともに内部調査を行うことを決定したためと説明した。この調査によって、3日から10日にかけて不正アクセスによる情報漏えいがあったことが判明した。

　また、両社のシステムには同一の仕組みが存在していたことも明らかにした。ただし、システムのすべてが同一ではなく、それぞれの事業に合わせて最適化していると説明している。
　漏えい対象には、健康食品・サプリメントや化粧品の商品名、購入履歴、定期購入の契約内容、購入頻度などの情報は含まれていないという。

アエナ、認証機構を見直し

　アエナは10月14日、ECアプリ会員情報への不正アクセスについて、最大81万7,215人が不正閲覧の対象となった可能性を公表した。
　同社は22日付の本紙への回答で、対象人数については不正アクセスの重複が想定されるため、最大値として公表していると説明した。不正閲覧された可能性のある情報の範囲については、10月14日付の同社ホームページで公表した内容が該当すると回答。化粧品・健康食品などの購入履歴については、不正閲覧の対象に含まれていないとした。

　また、不正アクセスの原因については、「不正アクセスを通じて、機械的な連続アクセスが行われたことが原因」と説明した。

　従来のセキュリティ対策に問題がなかったかという質問に対しては、具体的な説明を行わず、今後、対策委員会で公開すべき情報について、改めて同社ホームページで知らせるとした。

　同社は10月19日にECアプリを再開した。再開にあたって実施した安全対策について、①今回の事案の原因となった認証に関する仕組みの見直し、②不正アクセスを検知・遮断する仕組みの強化、③システム全体の点検と運用・監視体制の強化――の3点を挙げた。
　二次被害の発生状況については、アクセス記録やデータの記録の確認を続けているとした上で、顧客情報の不正な変更やシステムへの不正な侵入は確認されていないと回答した。再開後も監視と対策を継続すると説明。
　「全社を挙げてセキュリティ強化と信頼回復に努める」としている。

Eストアー、購入履歴流出を否定

　通販システム「ショップサーブ」を運営するEストアーは16日、「不正アクセスによる個人情報漏えいに関するお知らせ（最終報）」を公表、編集部の取材に対して回答した。
　対象となった7,858店舗のうち、健康食品・サプリメント、化粧品を取り扱う店舗数については、商品カテゴリー別の店舗数を公表していないとして回答を控えた。
　一方、購入商品の名称、購入履歴、定期購入に関する情報については、漏えい対象に含まれておらず、流出も確認されていないと説明。外部の第三者専門機関によるフォレンジック調査でも確認したという。

　5月21日～8月1日まで不正アクセスが続いたにもかかわらず、早期に検知できなかった理由については、「不正アクセスの兆候を捉えることが難しく、早期の検知には至らなかった」と回答。　対象店舗への連絡はすでに完了したとしている。
　再発防止策として、悪用された脆弱性の修正、攻撃経路の遮断、残存脅威の調査、アプリケーションやサーバーの脆弱性診断と検出事項の是正、管理画面などの認証強化を実施したと説明。今後も情報管理・運用体制の改善を進め、セキュリティ体制を強化する方針を示している。

ロート製薬、通話音声の内容も調査中

　ロート製薬は、通信販売の顧客対応システムなどへの不正アクセスについて、本紙の取材に回答した。顧客との通話音声データや顧客管理システムの情報が第三者に不正取得された可能性について、外部専門機関などの協力を得ながら調査を継続していると説明。対象人数や取得された可能性のある情報の範囲は、依然として明らかになっていない。

　健康食品・サプリメント、化粧品に関する相談のほか、利用者の健康状態や身体の悩みに関する会話が含まれていた可能性についても、現時点では確定的に回答できないとしている。
　同社は9月10日、通信販売の顧客対応に利用するシステムで、第三者による不正アクセスの可能性がある事象を確認した。その後の調査で、顧客との通話音声データと付随する情報、顧客管理システムの情報が第三者に取得された可能性を確認したという。

　本紙は、通話音声データに健康状態や身体の悩みなどに関する会話が含まれている可能性について質問した。これに対し同社は、個別の通話内容や情報項目について「現時点で確定的にお答えできる段階にはない」と回答した。
　通話音声データについては、商品に関する問い合わせなどへの対応に際し、会話記録の正確性を期するために録音することがあると説明。録音については同社ウェブサイトの「個人情報の取扱いについて」に記載しているという。ただし、保存期間や具体的な管理方法については、被害拡大防止と調査への影響を理由に回答を控えた。

　また、顧客管理システムに購入商品、購入履歴、定期購入契約、相談履歴などが保存されていたかについても、情報項目や不正取得の可能性がある範囲は確定していないとした。
　不正アクセスの発生時期や原因、システムの外部委託状況についても、詳細な説明は行っていない。

　対象顧客への対応については、調査で確認された情報や個別の影響を踏まえ、案内が必要と判断した顧客への連絡を順次開始していると回答した。
　二次被害については、回答時点で同社が把握している限り、今回の事案に起因すると考えられる不正利用や、同社または同社の通信販売を装った不審な連絡などは確認されていないという。
　再発防止策については、事案の確認後、影響拡大を防ぐために関係するシステムに必要な措置を講じたと説明したものの、具体的な内容は明らかにしていない。

　同社は、引き続き外部専門機関などの協力を得て調査を進め、調査結果を踏まえて必要な対策を検討・実施する方針だ。

JADMA、既存会員にも対策呼び掛け

　JADMAは、通販事業者の情報セキュリティ対策について回答した。同協会では2024年から、脆弱性診断やクラウド型WAF（Web Application Firewall）の導入を新規入会時の要件として位置付けている。既存会員についても、各社の状況に応じて実施・導入を検討するよう働き掛けているという。

　同年5月には、サイバー攻撃やセキュリティ対策に関する情報収集を目的に「情報・セキュリティ専門部会」を設置した。年に数回程度、セキュリティセミナーを開催するほか、社会的に影響の大きい情報漏えい事案などが発生した際には、会員企業に対し、各社の対応状況を改めて確認するよう周知している。

　専門部会には、賛助会員であるセキュリティ関連企業も参加。各社の知見や最新のサービス情報を会員企業と共有する機会を設けている。
　また、認定個人情報保護団体として、個人情報保護委員会が発表する注意喚起を踏まえ、対象事業者に速やかに情報を提供している。会員企業から相談が寄せられた場合には、担当者が状況を聞き取り、必要に応じて助言を行っている。

　今後の対応について同協会は、セキュリティ対策は各社が自らの状況を確認し、事業の実態に即した対応を取ることが基本との認識を示した。引き続き関連団体や事業者と連携し、最新動向の把握と会員企業への情報提供に取り組むという。

消費者庁、追加注意喚起を予定

　相次ぐ不正アクセスに対し、行政機関も対応を進めている。
　個人情報保護委員会は本紙の電話取材に対し、個別事案については調査中としながら、一般論として、安全管理措置が十分でないことが不正アクセスの要因となる場合があると説明。事業者には当事者意識を持った対応を求めた。

　一方、国民生活センターは本紙の電話取材に対し、個人情報流出に関する相談件数について、相談データベースからの集計が困難と説明した。フィッシング詐欺やクレジットカードの不正利用に関する相談は以前より増えているものの、今回の個人情報流出事案との因果関係は分からず、具体的な関連事例を示すことは難しいと回答した。

　消費者庁の消費者政策課は23日付の回答で、全国の消費生活センター等には、個人情報流出に関する不安や、漏えい通知を装った詐欺への懸念、不正利用に関する相談が寄せられていると説明した。
　同庁は、国民生活センターと連携して消費生活相談情報を取りまとめ、関係省庁に共有するとともに、被害・二次被害の防止に向けて追加の注意喚起を行う予定としている。

【田代　宏】