2014-07-09
ベネッセの情報漏えいをまとめてみた。
インシデントまとめ | |
2014年7月9日、ベネッセは顧客情報が漏えいしたと発表を行いました。ここではその関連情報をまとめます。
(1) 公式発表と概要
ベネッセは同社の顧客情報が漏えい、さらに漏えいした情報が第三者に用いられた可能性があるとして7月9日に発表をしました。
概要を図にまとめると次の通り。
(2) 被害状況
漏えい件数
- 漏えいが確定した件数：約760万件
- 漏えいが疑われる件数：最大約2,070万件
- 漏えい時期：2013年末頃
- データ更新時期が不明ながら2013年9月頃の住所に対して送られているとの情報有り*1
- 件数は全て1世帯を1件としてカウントしている。
- 1件当たり保護者1名、子供1名の情報が含まれる。
- 漏えい1件について最低でも2人の情報が漏えいしている。
漏えいした情報
- ベネッセは「センシティブな情報が漏れたわけではない」「金券配布は検討していない」と記者会見で明らかにした。*2
- ベネッセは調査会社が容易に名簿を入手できたことから、別の名簿業者に渡っている可能性も考えられると発表。
漏えいしたサービス
(3) 発端
- 6月下旬以降、ベネッセへ同社登録情報宛にDMが届いているとの問い合わせが急増したことによる。
(4) 原因
(5) 対応
ベネッセの対応
- 今後の対応(7月9日時点)
経済産業省の対応
警察の対応
(6) インシデントタイムライン
| 日時 | 出来事 |
|---|---|
| 6月26日以降 | Twitter上でスマイルゼミというDMが送られるといった報告が多数 |
| 6月26日 | ベネッセへ登録した情報に対してDMやセールス電話が来るとの問い合わせが急増 |
| 6月27日 | 問合せ急増を受け同社会長・社長へ報告。 |
| ベネッセが全面調査を開始。 | |
| 6月28日 | 同社に緊急対策本部設置。 |
| ベネッセが調査会社へ調査を依頼 | |
| 6月30日 | ベネッセが経済産業省へ状況報告と対応について相談 |
| 警察へ状況報告と対応について相談 | |
| 7月4日 | 調査会社がベネッセの個人情報を販売する名簿業者を把握、及び名簿を入手 |
| 7月7日朝 | ベネッセの保有する顧客情報とのマッチングを実施 |
| 7月7日 | ベネッセが社内調査より顧客情報データベースから情報が持ち出されていたこと判明 |
| 警察が捜査を開始。 | |
| 7月8日 | IT事業者、及び名簿業者へ名簿の利用・販売の中止を求める内容証明郵便を発送。 |
| 7月9日 | ベネッセが情報漏えいについて発表。同日記者会見。 |
| 7月10日 | 経済産業省がベネッセに個人情報保護法に基づく報告を要請。 |
「グループ社員以外の内部者」に関する情報
- ベネッセはベネッセグループ社員以外の内部者の関与と推定
- 内部者とはデータベースへアクセスできる権限を持つ(関係者)ものを指す
- 特定のデータベースから何らかの形で外部に顧客情報が持ち出されたことは調査により判明
- 外部からの不正アクセスではない。過去に遡って外部からの不正アクセス有無を検証済み。
「IT事業者」に関する情報
- 発表・報道はされていないが、インターネット上で挙がっているIT事業者は現在次の通り。
- ベネッセが名前を明かさない理由は警察が捜査中であるため。
- ベネッセはDM発送を行っているIT事業者に対して「悪意を持っての流出情報の使用」と批判。協力が得られない場合は告訴も検討*5
- IT事業者は「関係がどのようなものであったか把握しておらず現在確認中」とコメント*6
- ベネッセの発表によればIT事業者は面会の申し出に応じていない。*7
ジャストシステム
- 同社の「スマイルゼミ」と呼称する教育サービスのダイレクトメールが届いているとの報告が複数見受けられる。
徳島のジャストシステムから小3の娘にスマイルゼミなるものの案内が届きました。進研ゼミの勧誘マンガに似ている！？ pic.twitter.com/4n6IYGCj9H
— カイメイジュク／開明塾 (@kaimei_o) 2014, 6月 27- ダイレクトメールに「株式会社ジャストシステム」との記載がある。
- 朝日新聞が次のように報じており、ジャストシステムの「スマイルゼミ」のDMであることが推定できる。また、同じ業者のDMがベネッセにしか登録していない情報宛に届いている模様。
新潟県十日町市の小学３年生の男児（８）宅には、２週間ほど前に、タブレットを使った通信教育のダイレクトメール（ＤＭ）が見知らぬ会社から届いた。
(中略)
埼玉県川口市の主婦（３３）の元にも、同じ業者からＤＭが届いた。Ｂ４サイズの水色の封筒。小学２年の長女のために２年前に半年間だけ進研ゼミを利用した。変な勧誘などが来ると困ると思い、その時、子どもの名前を一文字変えて登録。ＤＭは、実在しないその名前宛てだった。
http://digital.asahi.com/articles/ASG796FQ5G79UTIL03P.html?iref=comkiji_txt_end_s_kjid_ASG796FQ5G79UTIL03P
塾(詳細不明)
- 知らない塾からセールス電話がかかってきたと報じられている。*8
「名簿業者」に関する情報
文献社
- DMを送付したジャストシステムへ問合せを行った人が報告している。
うちの情報については、文献社（データーベース事業者：いわゆる名簿屋）という会社から入手した、と回答がスマイルゼミからありました。住所のラベルのバーコード下の記号を読み上げると、スマイルゼミがどこから入手したか電話受付係の女性が答えてくれました。
http://detail.chiebukuro.yahoo.co.jp/qa/question_detail.php;_ylt=A3xTwsWOUr1TD08A1bKL.vN7?page=1&qid=13131143853
パンワールドデータ
- DMを送付したジャストシステムへ問合せを行った人が報告している。
@amiaminagi スマイルゼミ→名簿屋Ａ→名簿屋Ｂまで訴求できましたが、名簿屋Ｂが個人情報取り扱事業者なのに、我が家の情報の仕入れ先の開示を拒否した為、これ以上遡れませんでした。名簿屋Ｂは（株）パンワールドデータ（東京都武蔵野市）http://t.co/1CMzvxe1ei
— いち子 (@shinagwa) 2014, 6月 30更新履歴
- 2014/07/10 AM 新規作成
*1：実際に送付を受けた人からの情報。
*2：【続報】対象者は4000万人超か、ベネッセ個人情報漏えいの調査経緯,ITpro,2014/07/10アクセス:魚拓
*3：ベネッセの情報流出、社外の人物か 利用者は不信あらわ,朝日新聞,2014/07/10アクセス:魚拓
*4：ベネッセ情報流出で捜査開始＝不正競争防止法違反容疑―被害相談受理・警視庁,時事通信,2014/07/10アクセス:魚拓
*5：ベネッセが顧客情報漏洩を発表 最大２０７０万件流出も,MSN産経,2014/07/10アクセス:魚拓
*6：最大２０７０万件流出＝通信教育顧客情報−進研ゼミのベネッセ,時事通信,2014/07/10アクセス:魚拓
*7：ベネッセ:顧客情報２０７０万件流出か 役員引責辞任も,毎日新聞,2014/07/10アクセス:魚拓
*8：「悪用されないか…」お母さん、漏えいに不安,MSN産経,2014/07/10アクセス:魚拓