「情報漏えい、当社に関係なし」の嘘（第7回）ぴあですら個人情報流出の可能性。守りは急務

　またしても大手企業から個人情報流出か？というニュースが流れてきた。2017年4月25日にチケット販売大手のぴあが、運営を受託しているサイトから15万件余りの個人情報流出の可能性があると発表したのだ。クレジットカード情報を含む個人情報の流出で、現実にクレジットカードの不正利用も確認される事態にまで発展した。

　経緯は以下のようなものだった。個人情報が流出した可能性があるのは、ぴあが運営を受託しているB.LEAGUE（公益社団法人ジャパン・プロフェッショナル・バスケットボールリーグ）のB.LEAGUEチケットサイトとファンクラブ受付サイトのサーバー。何者かがサーバーにサイバー攻撃を仕掛けた。これにより最大で、約15万5000件の個人情報が悪意ある第三者に流出した。そのうち約3万2000件はクレジットカード情報を含むという。

流出した情報からクレジットカード不正利用も

　今回のぴあの事件では実害が生じた。情報セキュリティー対策の必要性が改めて実感させられる。ぴあによる4月21日の集計時点で、197件、計約630万円のクレジットカードの不正利用が確認された。ぴあは不正使用分の金額を負担して、クレジットカード会社を通じ補償する。さらに被害の拡大についてもクレジットカード各社と連携して、情報が流出した可能性のあるクレジットカードによる取引のモニタリングを強化。さらなる不正利用の防止に努めるという。

　今回の情報流出の直接的な原因は、JavaのWebアプリケーションフレームワーク「Apache Struts2」の脆弱性を突かれたことにある。Apache Struts2は、Apache Software Foundationが開発するオープンソースのソフトだ。Webアプリケーションを開発する際に、国内外で一般的に使われる。2017年3月9日、情報処理推進機構（IPA）はApache Struts2の脆弱性の最新情報を公開し、任意のコードが実行される可能性を指摘した。対策として、IPAでは最新バージョンへのアップデートを実施するように促している。

　一般的に使われるApache Struts2だけに、情報流出のリスクはどのような企業や団体でもあったはずだ。ただ、多くは対策を施しリスクを回避できた。ぴあもIPAの発表を受けて、脆弱性の存在を認識していた。ところが、今回のB.LEAGUEチケットサイトとファンクラブ受付サイトのサーバーでは、想定外のことが起こっていた。ぴあでは、これらのサーバー上に、クレジットカード情報などの個人情報が「ない」と判断していたのだ。だが、実際にはクレジットカード情報がサーバー上に保存されていた。「ない」はずの個人情報が、サーバーの脆弱性を突いた攻撃で、外部に流出してしまったのだ。

システムリスクには「人間」の関与も考慮 …