2017年10月30日、GMOインターネットは同社のサイト売買仲介サービス「サイトM&A」において、登録された会員情報等がインターネット上に流出していたことを発表しました。ここでは関連情報をまとめます。
インシデントタイムライン
| 日時 | 出来事 |
|---|---|
| 2017年5月17日以前 | 今回情報流出した会員情報の対象期間。 |
| 2017年8月30日 16時52分 | 掲示板にインターネット上に置かれたZIPファイルのハイパーリンク(公開先A)が投稿される。 |
| 〃 17時4分 | 掲示板にZIPファイルがGMOグループ関連の情報ではないかといった内容が投稿される。 |
| 2017年9月1日 15時59分 | 掲示板にサイトM&AのWebサイトのデータではないかといった投稿がされる。 あわせて公開されていたデータを別の場所(公開先B)にアップしたと投稿される。 |
| 2017年9月14日 | GMOインターネットへ情報漏えいの疑念があるとの外部からの連絡を受領。調査を開始。 |
| 2017年9月15日 | GMOインターネットが流出の事実を確認。インシデント対応を開始。 |
| 2017年9月19日 | GMOインターネットが警視庁渋谷署に被害相談。 |
| 2017年9月27日 | システム再構築、安全面の確認作業完了。サイトM&Aを再開。 |
| 2017年10月26日 | GMOインターネットが郵送、及びメールで対象者へ報告。 |
| 2017年10月30日 10時59分 | Twitter上でGMOからの謝罪を郵送で受領したと画像付きで投稿される。*1 |
| 〃 | マスコミ各社がGMOから情報漏えいがあったと報道。 |
| 〃 19時14分 | 掲示板に別の場所(公開先C)にアップしたと投稿される。 |
| 〃 | GMOインターネットがサイトM&Aから情報漏えいがあったことをWebサイトで発表。 |
| 2017年11月1日3時22分 | 掲示板に別の場所(公開先D)にアップしたと投稿される。 |
| 〃 9時40分 | 掲示板に流出した情報がAmazonのKindle Storeに出版されていると投稿される。 |
| 〃 13時頃 | GMOインターネットがAmazon上での流出情報販売を把握。*2 |
| 〃 14時頃 | Amazonから販売されていた流出情報が削除される。*3 |
| 〃 (時間不明) | GMOインターネットがサイトM&Aのサイトに情報漏えいがあったことを掲載。(10月30日発表と同じ) |
| 2017年11月2日 2時25分 | 掲示板に別の場所(公開先E)へのアップを示す内容が投稿される。 |
公式発表
- 2017年10月30日 サイトM&A（サイト売買仲介サービス）ご登録会員様情報流出のお詫びとお知らせ（2017年10月30日）
- 2017年11月1日 ご登録会員様情報流出のお詫びとお知らせ
被害の状況
- サイトM&Aに登録された会員情報 1万4,612件 が外部へ流出。
- 次の行為をサイトM&A上で行っていた場合に対象となる。
- 会員登録
- 売却案件登録
- 情報開示請求
- クイック査定
- 問い合わせ
- メールマガジン
流出した情報項目
- ユーザー名
- 法人名
- 氏名
- 住所
- 生年月日
- 電話番号
- メールアドレス
- 登録案件内容
- 問い合わせ内容
- クイック査定内容
インシデントの公表が遅れた理由
- GMOインターネットが個人情報保護員会と相談をしたことによる。
- 個人情報取り扱い事業者として適切な対応を検討した結果であるとGMOインターネットは説明。
- インターネット上に公開された流出情報は郵送の時点で公開状態であり、さらなる拡散を防ぐことが目的。
- その後サイトM&Aの情報漏えいについて多く問い合わせを受けたことから概要のみWebサイト上で掲載することとした。
原因
- セキュリティ専門機関の調査によればシステムの脆弱性を悪用されたことによる。
GMOインターネットによる事故後の対応
更新履歴
- 2017年11月1日 AM 新規作成
- 2017年11月2日 AM 流出した情報の悪用(Amazon Kindle Store上での販売)等続報追記
- 2017年11月2日 PM 誤字修正
*1:https://twitter.com/merlionsplash/status/924818112448364544
*2:GMOから流出した個人情報、Amazon「Kindle」で電子書籍として販売 悪質な二次利用か,ねとらぼ,2017年11月2日アクセス
*3:GMOインターネットから漏えいの個人情報、Amazonの電子書籍として販売される,ITpro,2017年11月1日アクセス
