国際物流の管理サービスを提供するShippioは11月4日、同社のプラットフォームへの不正アクセスと、情報漏えい、サービスの一時停止を公表しました。約1,300件という数字は、ダウンロードされた書類ファイルの数で、被害人数ではありません。
この記事は11月4日20時57分（日本時間）に公式本文を確認して作成しています。会社が発表に示す情報の基準時点は11月3日18時です。
- 会社情報や輸送情報の閲覧、書類ファイルの取得が確認されています。
- ユーザーの氏名・メールアドレスは漏えいのおそれがあります。書類の実取得と同じ確定状況ではありません。
- サービス再開時期は未定。利用企業は不審な連絡に注意し、扱うデータを原本と照合することが大切です。
発生・検知・公表の日付を分けて確認
Shippioの公式発表（11月4日）によると、不正アクセスは11月1日19時30分頃から2日17時頃まで複数回発生しました。会社は11月2日に検知し、同日10時40分にサービスを停止したとしています。11月4日は公表日であり、その日に攻撃が始まったという意味ではありません。
何が閲覧され、何が取得された？
- 会社情報：全顧客の会社名などが閲覧されました。
- 輸送情報・書類の名称や種類：登録顧客のほぼすべてについて閲覧されました。
- 書類ファイル：約1,300件のダウンロードを確認しています。
- ユーザーの氏名・メールアドレス：閲覧できる状態にあり、漏えいのおそれがありますが、まとめて取得された形跡は確認されていません。
会社は、書類内にユーザー以外の個人情報が含まれることも確認し、対象を調べています。パスワードは取得されていないとの説明です。これらの区分を足し合わせて被害人数を計算したり、すべての情報が同じ形で取得されたと扱ったりはできません。
LOGI-BIZ onlineの11月4日19時10分の続報も、輸送情報等の閲覧と約1,300件の書類ファイル取得、停止が続く状況を報じています。
利用企業が確認したいこと
Shippioや取引先を名乗るメール・電話・SMSでも、心当たりのないリンクやファイルには注意してください。突然届いた連絡だけを根拠に、情報の再入力やデータの差し替えを行わず、既知の連絡先や公式案内で確認しましょう。
公式発表では、関連するデータを原本と照合するよう案内しています。書類の名称を知っている相手でも、それだけで正規の送信者とは判断できません。日程や金額、送り先など、業務判断に使う情報は原本との一致を確かめてください。
再開時期と、今後の案内
再開時期は未定です。サービス再開後のログインや外部API連携の再取得などについても公式案内があるため、対象の利用企業は自社に必要な手順を確認してください。「再開後の手順が案内された」ことと、「すでに再開した」ことは別です。
今回の停止だけを根拠に、すべての貨物が止まった、通関ができなくなった、とまでは判断できません。個別の輸送への影響は、自社の担当窓口や取引先から確認する必要があります。
発表・情報漏えいの確定・復旧を分けて読むポイントは、企業サイバー被害の解説でも整理しています。ほかの企業の事案と原因や攻撃者が同じだと示すものではありません。
コメント