イズミは、グループの複数サーバがランサムウェアで暗号化される被害を2024年2月16日に公表しました。5月9日の発表では、外部への情報流出の痕跡は見当たらず個人情報の漏えいは確認されていないものの、閲覧された可能性を完全に否定することは困難だとして、ゆめカード会員情報などを挙げています。
目次
事故の概要
- 組織
- 株式会社イズミこの組織の事故はほかに2件
- 漏えいしたおそれがある情報
- ゆめカード会員情報の一部（氏名・電話番号・住所・生年月日・性別・ポイント管理番号）と、イズミテクノのパートアルバイト応募者情報の一部（氏名・電話番号・住所・生年月日・性別・メールアドレス）。ほかに共通メールサーバのメール履歴が毀損（件数不明）。クレジットカード情報は別システムで運用しており漏えいしていないと発表
- 件数
- 不明ゆめカード会員情報の一部が最大7,782,009件（2024年2月15日以前の入会者）。ほかにパートアルバイト応募者情報の一部が最大2,990件
- 誰の情報か
- 利用者（会員・顧客）
- 対象となる方
- ゆめカード会員（2024年2月15日以前の入会）の情報の一部、イズミテクノのパート・アルバイト応募者（2023年6月1日〜2024年2月14日の応募）の情報の一部。漏えいは確認されていないが、閲覧された可能性を完全に否定できない。ほかに、グループ共通メールサーバのメール履歴が使用不能（毀損）
- 状態
- 可能性あり
- 原因
- ランサムウェア
- 業種
- 小売・通販
- ドメイン
- izumi.co.jp
推奨される対応
株式会社イズミからの案内があるときは、そちらを優先してください。そのうえで、この事故で漏えいしたおそれがある情報の種類から、ご自身でできる対応を悪用されやすい順に並べています。
- STEP 1
株式会社イズミからの案内を確かめる
- 個別の連絡
法令上の通知対象となる方に、順次、アプリでのお知らせか郵送で個別に通知する予定。通知が難しい方は本公表をもって代える
問い合わせ窓口は、会社の発表でご確認ください。
株式会社イズミの発表を開くリンク先：izumi.co.jp
- STEP 2
ご自身でできる対応
- 1
メールアドレスが漏えいしたおそれがあるため
この会社を名乗るメールのリンクは開かず、公式サイトから内容をご確認ください。
- 2
電話番号・住所が漏えいしたおそれがあるため
不審な電話や SMS、届いた覚えのない郵便物にご注意ください。
- STEP 3漏えいのお知らせが届いたら？メールや SMS が本物かの見分け方と、漏れた情報ごとの対応をまとめています。
お知らせが届いたら
経緯
- 検知2/15
- 初動対応2/15
- 公表2/16
- 続報2/20
- 調査結果5/9
- 再発防止策—
検知2024年2月15日
グループ会社サーバへの第三者の侵入を検知
初動対応2024年2月15日
全ネットワークを遮断、警察へ相談
公表2024年2月16日
2月15日に起きたシステム障害を調べたところ、グループの複数サーバが暗号化されるランサムウェア被害が起きていると確認したと公表しました。対策本部を設置し、外部専門家の助言を受けて影響範囲の調査と復旧を進め、警察などにも相談しています。
全店は通常営業ですが、発注システムに支障が出て一部商品の提供が難しい場合があります。ゆめアプリやゆめカードの新規入会、ゆめオンライン、ゆめデリバリー、配達サービスなどが休止中です。
現在、個人情報の漏洩は確認されていないものの、その可能性は調査中と書いています。ゆめカードクレジットのカード情報は別システムで運用しているため漏洩していないとしています。2月16日に個人情報保護委員会へ報告しました。
続報2024年2月20日
2月19日17時時点の状況として、休止していた一部サービスを再開したと知らせました。個人情報については、漏洩は確認されていないが可能性は調査中という前回までの内容を変えていません。クレジットカード情報は別システムで運用し、漏洩していないとしています。
続報2024年2月22日
今月中を目途に被害の全容を把握し、段階的にシステムを稼働させて、5月1日の完全復旧を目指すと発表しました。システム障害に伴いメールシステムなどの使用を停止しており、連絡手段は電話・FAX・郵送としています。個人情報の漏洩は確認されていないが、可能性は調査中という内容は変わっていません。
続報2024年5月1日
5月1日の復旧目標に向けて対応を進め、段階的にシステムを稼働させていると知らせました。個人情報について、グループが保有する個人情報の漏えいの事実や不正利用による被害、攻撃者等による情報の公開は、現時点で確認されていないと書いています。個人情報保護委員会へは適宜、現状を報告しています。
調査結果2024年5月9日
外部専門機関の調査で、外部からの通信の受け口となる通信装置（VPN装置）を狙って直接グループのサーバに侵入され、一部のデータが使用不能になったとの報告を受けたと説明しました。被害サーバの通信記録から外部への情報流出の痕跡は見当たらず、個人情報の漏えいの事実も確認されていないものの、閲覧された可能性を完全に否定することは困難だとしています。
閲覧された可能性を否定できない個人情報は、ゆめカード会員情報の一部（最大7,782,009件）と、イズミテクノのパートアルバイト応募者情報の一部（最大2,990件）です。このほか、グループ共通メールサーバのメール履歴（件数不明）が毀損されました。法令上の通知対象となる方には、アプリでのお知らせか郵送で順次知らせる予定とし、通知が難しい場合はこの公表をもって代えるとしています。
出典
正しい情報については、リンク元の一次情報を必ず参照してください。
誤りや続報のご連絡
掲載内容の誤りや続報の情報は、お問い合わせフォームより受け付けております。内容によっては、回答までにお時間をいただく場合がございます。