株式会社Shippio（Shippio Platform）

Shippioは11月4日、11月3日18時時点で判明した内容として公表しました。11月1日19時30分頃から2日17時頃に複数回の不正アクセスを受け、お客様の情報の一部と個人情報を含む情報の一部が漏えいし、システム上のデータの一部が損傷したと確認したとしています。これに先立ち、10月30日から社内業務ツールへの不正なアクセスがあったことも確認しており、現在は遮断済みです。この業務ツールに保存されていた認証情報を使って、Shippioのシステムにアクセスされたとしています。

閲覧を確認した情報は、会社名・チーム名・電話番号・住所（すべてのお客様）と、シップメント情報および書類のファイル名・種類（シップメント登録顧客のほぼ全て）です。書類ファイル約1,300件が実際にダウンロードされ、内容は調査中です。社内共有ファイルの一部も不正に閲覧・取得されています。ユーザーの氏名とメールアドレスは、まとめて取得された形跡は現時点で確認されていませんが、閲覧できる状態にあり漏えいのおそれがあるとしています。パスワードは外部の認証サービスで管理しており、取得されていないとしています。

データの損傷として、不正なユーザーアカウントとAPI認証情報の作成（約1,100チーム）、一部の設定データへの書き込み、シップメントへの悪意のあるファイルのアップロードを確認しました。把握している不正なアクセス経路の遮断や認証情報の変更などは実施済みで、個人情報保護委員会などへの報告・相談を進めています。漏えいが確認された方とそのおそれのある方には、順次個別に連絡するとしています。