トヨタモビリティサービスは、社用車専用クラウドサービス「Booking Car」のデータ保管サーバに不正アクセスがあり、約25,000名分のメールアドレスとお客様識別番号が漏洩した可能性があると公表しました。開発委託先が、過去の別プロダクト用に設定したアクセスキーを無効にしていなかったことが原因とされています。
目次
事故の概要
- 漏えいしたおそれがある情報
- 社員番号・氏名フリガナ・予備メールアドレス・電話予備連絡先・支店名と住所・部署コードと部署名・役職・IPアドレス・駐車場場所・行先など記入される内容・端末情報など、計17項目。写真データ（顔写真、車両キズ等）と車両の画像データも対象
- 件数
- 25,000件2020年11月以降にメールアドレスを登録した約25,000名分
- 誰の情報か
- 利用者（会員・顧客）
- 対象となる方
- 2020年11月以降に「Booking Car」の利用画面でメールアドレスを登録した、企業・自治体の従業員・職員（漏洩した可能性）
- 状態
- 可能性あり
- 原因
- 委託先（委託先：社名非公表）
推奨される対応
トヨタモビリティサービス株式会社からの案内があるときは、そちらを優先してください。そのうえで、この事故で漏えいしたおそれがある情報の種類から、ご自身でできる対応を悪用されやすい順に並べています。
- STEP 1
トヨタモビリティサービス株式会社からの案内を確かめる
- 個別の連絡
漏洩した可能性のある方に、登録のメールアドレス宛てにメールで連絡
問い合わせ窓口は、会社の発表でご確認ください。
トヨタモビリティサービス株式会社の発表を開くリンク先：news.t-mobility-s.co.jp
- STEP 2
ご自身でできる対応
- 1
メールアドレスが漏えいしたおそれがあるため
この会社を名乗るメールのリンクは開かず、公式サイトから内容をご確認ください。
- 2
電話番号が漏えいしたおそれがあるため
不審な電話や SMS、届いた覚えのない郵便物にご注意ください。
- STEP 3漏えいのお知らせが届いたら？メールや SMS が本物かの見分け方と、漏れた情報ごとの対応をまとめています。
お知らせが届いたら
経緯
- 検知2/2
- 初動対応—
- 公表2/16
- 調査結果—
- 再発防止策—
検知2024年2月2日
データ保管サーバへの不正侵入を確認
公表2024年2月16日
2024年2月2日に、「Booking Car」のデータ保管サーバ（Amazon Web Services S3）に対し、システム開発以前から使われていたアクセスキーで不正に侵入された事実を確認しました。調査で、2020年10月から2024年2月2日まで、このアクセスキーでメールアドレスとお客様識別番号にアクセスできる状態だったことが分かったとしています。
漏洩した可能性があるのは、2020年11月以降に利用画面でメールアドレスを登録した企業・自治体の従業員・職員、約25,000名分のメールアドレスとお客様識別番号です。あわせて、写真データや車両画像、登録に使う一時ファイルやログに保存された氏名・携帯電話番号・社員番号など計17項目も対象に挙げています。個人情報の流出の事実は確認できていないが、完全には否定できないとしています。保管データの削除も行われていました。
原因は、開発委託先が過去の別プロダクト用のアクセスキーを無効化・消去していなかったことです。対象者へメールで知らせ、専用のコールセンターを置いています。クレジットカード情報は保持していないとしています。
出典
正しい情報については、リンク元の一次情報を必ず参照してください。
誤りや続報のご連絡
掲載内容の誤りや続報の情報は、お問い合わせフォームより受け付けております。内容によっては、回答までにお時間をいただく場合がございます。