TKCは11月4日、メール配信委託先への不正アクセスについて第3報を公表しました。今回の重要な追加情報は、漏えいした情報はメールアドレスのみで、メール本文やマイナンバー、市町村への申請情報などは漏えいしていないと確認されたことです。11月4日17時05分（日本時間）に公式本文を確認しました。
- 最大223万812件のメールアドレス漏えいは既報です。人数と読み替えたり、今回増えた件数と扱ったりしません。
- 第3報では、メール本文や申請情報など、ほかの情報の漏えいがないことを確認したと説明しています。
- 対象者の特定は調査中。メール送信も復旧完了ではなく、別の配信基盤で送れるよう対応中です。
第3報で分かったこと
TKCがメール配信を委託していたアララの「アララメッセージ」が不正アクセスを受け、TKCのシステム利用者のメールアドレスが外部に漏えいしたと報告されています。TKCの11月4日第3報は、漏えい対象がメールアドレスに限られ、メール本文、マイナンバー、市町村への申請情報等のその他の情報は漏えいしていないことが確認されたとしています。
「どの種類の情報が漏れたか」と「誰のメールアドレスが対象か」は別の確認です。対象者についてはなお調査が続いており、今回の説明をもって全員への個別確認が終わったとはいえません。
メールが届かない状況は続いている
TKCの各サービスでもメールを送信できない状況があり、別のメール配信基盤を利用して送れるようにする対処を進めていると説明しています。新基盤への対応中という案内であり、すでに送信が再開したという発表ではありません。
通知を待っている方は、メールが来ないことだけで申請や手続きの完了・未完了を判断しないようにしましょう。利用するサービスの画面や公式のお知らせから状況を確認し、期限がある場合は、そのサービスが案内する窓口を利用してください。
不審な再認証・手続き案内に注意
突然届いた「再認証」「情報の再登録」などのメールから、パスワードや決済情報を急いで入力しないようにしましょう。送信者の表示名だけで判断せず、普段使う公式サイトやアプリを自分で開いて確認するのが安全です。
情報漏えいへの対処が分からない場合、IPAは11月2日に個人向け相談受付の強化を発表しています。二次被害を防ぐための技術的な対処などについて相談できます。TKCの対象者を判定したり、個別の申請状況を照会したりする窓口ではありません。
委託先全体の調査とは区別して確認
アララの11月4日15時更新版では、サービス再開時期は未定で、影響範囲が判明した契約先へ件数を順次案内しています。TKCによる今回の対象情報の確認と、アララ全体の調査・復旧完了は同じことではありません。
背景はアララの被害範囲と利用企業への影響をまとめた記事で整理しています。各社の公表件数には重複し得るものがあるため、単純に足して被害総数にはしません。発表・個別通知・復旧の違いは企業サイバー被害の解説も参考にしてください。
コメント