(cache) JTBへの不正アクセスについてまとめてみた

2016年6月14日、JTBは同社のサーバーが不正アクセスを受け、顧客情報が漏えいした可能性があると発表しました。ここでは関連情報をまとめます。

公式発表

今回の不正アクセスによる影響はJTB他、同社の提携サービスを展開している他社にも波及している。

インシデント タイムライン

日時	出来事
2016年3月15日	取引先を偽装したメールが届き、i.JTBの端末がマルウェアに感染。
2016年3月19日～24日	i.JTBのサーバーより不審な通信の発生を複数確認。
2016年3月19日	システム監視会社よりJTBへ不審な通信を確認したと指摘。
2016年3月20日	JTBが不審な通信先の遮断措置を開始。*1
2016年 3月25日	JTBが不審な通信先の遮断措置を完了。*2
2016年3月21日	何者かがi.JTBのサーバー内にデータファイルを作成。
2016年4月1日	JTBが削除されたデータファイルの存在を把握。
2016年5月13日	データファイルを復元し、顧客情報を記録したCSVファイルが含まれることを確認。
同日	JTBが顧客情報流出の可能性があることを把握。事故対策本部を設置。
2016年5月30日	JTBが警視庁へ被害相談。*3
2016年6月2日	i.JTBよりNTTドコモへ個人情報流出の可能性があると報告。
2016年6月10日	JTBよりNTTドコモへ調査結果が報告。
2016年6月14日 17時	JTBが不正アクセスによる顧客情報漏えいの可能性について発表。
同日	NTTドコモがJTB提携サービス(dトラベル)で顧客情報漏えいの可能性があると発表。
同日	Yahoo!JapanがJTB提携サービス(Yahoo!トラベル)で顧客情報漏えいの可能性があると発表。
同日まで	警視庁が当該事案について捜査に着手したと報道。
2016年 7月1日	JTBがIT セキュリティ専任統括部門を設置予定。

被害状況

不正アクセスを受けた組織

i.JTB(アイドットジェイティービー)

JTBグループのインターネット販売を担当するJTB子会社。

漏えいした可能性のある件数

約793万件

全登録件数 870万人分の内、9割以上が漏えいした可能性がある。*4
NTTドコモ「dトラベル」約33万件含まれる。
パスポート番号は9154件が含まれる。2016年6月14日時点で有効なパスポート情報は4359件。*5
訪日外国人の情報も対象に含まれる。
JTBは悪用の事実は確認していない。

漏えいした可能性のある顧客情報の項目

次の情報の一部、または全部が漏えいした可能性がある。

氏名(漢字、カタカナ、ローマ字)
性別
生年月日
メールアドレス
住所
郵便番号
電話番号
パスポート番号
パスポート取得日

次の情報は対象に含まれていない。

クレジットカード番号
銀行口座情報
旅行の予約内容

本事案の対象サービス・提携先

対象	件数
次のWebサイトで予約を行った利用者・JTBホームページ・るるぶトラベル・JAPANiCAN オンライン予約後に店舗清算をした場合も対象	不明
JTB内外のオンライン販売提携先でJTB商品を予約した利用者	約50万件

次に該当する商品を予約していたユーザーは対象外である。

JTB旅物語
高速バス
現地観光プラン、レジャーチケット、定期観光バス
レストラン
海外ダイナミックパッケージ
海外航空券
海外ホテル
海外現地オプショナルツアー
その他旅行関連商品（保険、積立等）

次の店舗棟で予約をした利用者は対象外である。

JTB店舗
提携販売店店舗
JTB旅物語販売センター

対象予約期間

対象サービスにおいて、次の期間に予約していた場合漏えいしていた可能性がある。

対象組織	期間
JTB	2007年9月28日～ 2016年3月21日 6 7
NTTドコモ	2014年 2月27日～ 2016年3月21日

第三者が作成したデータファイルに関連する情報

個人情報はCSVファイルに格納されていた。

JTBへの不正アクセスに関連する情報

個人情報を含むデータファイルは外部に送出したログを確認できておらず、漏えいした可能性という表現とした。*8ただし何者かの情報閲覧の可能性は否定していない。
通信ログは一部取得されていなかった。*9

感染が確認されたマルウェアに関連する情報

感染状況は次の通り。

対象	台数
PC	６台
サーバー	２台

最初に感染したPCから他のサーバー、PCへ感染が広まった。*10
マルウェア感染は2016年3月15日時点では把握できていなかった。*11
マルウェアは新種であり、セキュリティ対策会社が対応していなかった。
サーバーのアクセス権限は一人しかアクセス権限を所有していない。

発端

2016年3月19日にシステム監視会社より不審な通信の発生を確認したとの連絡を受けたことによる。

発表が遅れた理由

特定な不十分な状態では利用者に不安と混乱を招くことを想定し、特定できた段階で公表する方針とした。*12

原因

取引先を偽装して届いたメールに添付されていたマルウェアをi.JTBのオペレーターが誤って実行してしまったことによる。
担当オペレーターは20代女性社員。

i.JTBへ届いたメールの詳細

実際の取引先の航空会社を偽装したメール。
担当者は回付できないとして、メールで返信をしていた。*13
JTBはi.JTBへ届いたメールは標的型攻撃メールであると発表。

実送信元	詳細不明。海外のレンタルサーバー
FROMアドレス	実在する航空会社系列会社のドメイン日本人のありふれた苗字がアルファベットで表記
件名	「航空券控え添付のご連絡」
添付ファイル	「Eチケット控え」*14
本文	詳細不明。「お客様の旅行内容を確認したい」といった内容であり不自然な文面ではない。