セキュリティ情報漏洩のニュースサイトセキュリティ対策Labの運営とBtoB マーケティングコンサル支援|合同会社ロケットボーイズ

名鉄協商は2026年8月27日、6月に発生したランサムウェアを伴う不正アクセス事案について、「MKPポイントカード」の会員情報が外部に漏えいした可能性を否定できないと公表しました。 漏えいのおそれがあるのは、会員登録時に入力された氏名、住所、性別、生年月日、電話番号、メールアドレス、パスワードです。対象人数は公表されていません。現時点で、個人情報が実際に外部へ流出した事実や、不正利用は確認されていないとしています。 名鉄協商では6月23日にサーバーへの不審なアクセスを検知し、外部専門機関による調査で6月19日にランサムウェアによる不正アクセスの痕跡があったことを確認しています。7月28日には複数サーバーへの攻撃と顧客情報の外部漏えいのおそれを公表しており、今回のMKPポイントカード会員向け案内は、その影響範囲を具体化した続報となります。 名鉄協商・MKPポイントカード情報漏えいのおそれのサマリー 名鉄協商は2026年8月27日、MKPポイントカード会員の個人情報が外部に漏えいしたおそれを否定できないと公表しました。 原因となったのは、6月に発生した名鉄協商のサーバーに対する第三者からの不正アクセスです。 外部専門機関の調査では、2026年6月19日にランサムウェアによる不正アクセスの痕跡が確認されています。 名鉄協商は6月23日に不審なアクセスを検知し、一部サーバーの停止を受けてシステムの切り離しとネットワーク遮断を実施しました。 漏えいのおそれがある情報は、氏名、住所、性別、生年月日、電話番号、メールアドレス、パスワードです。 MKPポイントカード会員の対象人数は公表されていません。 パスワードの保存方式や、平文・ハッシュ化の別は公表されていません。 ポイントチャージに使用するクレジットカード情報は外部サービスで処理されており、今回の漏えいのおそれには含まれないとしています。 駐車場利用に関するシステムは今回影響を受けたサーバーから切り離されているため、駐車場利用に伴う顧客情報は今回の漏えいのおそれの対象ではありません。 現時点で、個人情報が実際に外部へ流出した事実や不正利用は確認されていません。 名鉄協商は対象となる可能性があるMKPポイントカード会員に対し、8月4日に個別案内を実施しています。8月27日のWeb公表は、メールが届いていない会員への補完を目的としています。 MKPポイントカードは一部機能が引き続き停止しており、全サービスの復旧は2026年内を目標としています。 項目 内容 公表日 2026年8月27日 不正アクセスの痕跡 2026年6月19日 異常検知 2026年6月23日 対象組織 名鉄協商株式会社 対象サービス MKPポイントカード インシデント ランサムウェアを伴う不正アクセス、個人情報漏えいのおそれ 侵入経路 公表されていません 漏えいのおそれがある情報 氏名、住所、性別、生年月日、電話番号、メールアドレス、パスワード 対象件数 公表されていません クレジットカード情報 対象外。外部サービスを利用 駐車場利用情報 対象外。影響サーバーと切り離されたシステムを使用 実際の情報流出 現時点で確認されていません 不正利用 現時点で確認されていません 会員への通知 8月4日に個別案内。8月27日にWebでも公表 MKPサービス復旧 段階的に進行。全サービスは年内復旧を目標 個人情報保護委員会への報告 名鉄協商の公表資料では確認できませんでした 6月19日にランサムウェアによる不正アクセスの痕跡 今回の情報漏えいのおそれは、6月に発生した名鉄協商のランサムウェア事案に伴うものです。 名鉄協商は6月23日、サーバーへの不審なアクセスを検知し、一部サーバーが停止したため、直ちにシステムの切り離しとネットワーク遮断を実施しました。その後、外部専門機関へ調査を依頼した結果、6月19日にランサムウェアによる不正アクセスの痕跡があったことを確認しています。 7月2日の公表時点では、外部への情報漏えいの事実は確認されていませんでした。 しかし、その後の調査で複数サーバーに対する攻撃が確認され、名鉄協商は7月28日、顧客情報について外部漏えいのおそれを否定できない状況になったと公表しました。この時点でも、実際に顧客情報が外部へ流出したことを示す事実は確認されていませんでした。 今回の8月27日の発表は、調査によって影響対象をMKPポイントカード会員まで具体化したものです。 氏名・住所・メールアドレスに加え「パスワード」も対象 MKPポイントカード会員について、漏えいのおそれがあるのは会員登録時に入力した次の情報です。 氏名 住所 性別 生年月日 電話番号 メールアドレス パスワード 名鉄協商は対象となる会員数を公表していません。また、パスワードがどのような方式で保存されていたのか、平文で保存されていたのか、ハッシュ化されていたのかについても明らかにしていません。 したがって、現時点で「パスワードが平文で流出した」と断定することはできません。一方、名鉄協商自身がパスワードを「漏えいのおそれがある情報」に含めているため、会員側では認証情報が第三者に取得された可能性を想定した対応が必要です。 特に、MKPポイントカードと同じパスワードを他のWebサービスでも使用している場合、別サービスへの不正ログインに悪用される可能性があります。実際の悪用は確認されていませんが、同一パスワードを使い回している場合は、他サービス側のパスワードを変更し、サービスごとに異なるパスワードへ切り替えることが望まれます。 クレジットカード情報と駐車場利用情報は対象外 今回の公表では、影響を受けた可能性がある情報だけでなく、対象外と確認されている情報も明確にされています。 MKPポイントカードではポイント残高へチャージする際にクレジットカードを利用できますが、名鉄協商によると、クレジットカード情報は外部サービスを利用して処理しており、今回の情報漏えいのおそれには含まれていません。 また、駐車場を利用する際のシステムについても、今回不正アクセスを受けたサーバーとは切り離されたシステムを使用しているため、駐車場利用に伴う顧客情報が今回の事案によって漏えいしたおそれはないとしています。 「MKPポイントカード会員情報に漏えいのおそれがある」ことと、「駐車場利用者全体の情報が漏えいした可能性がある」ことは同じではありません。 実際の外部流出や不正利用は確認されず 8月27日時点で、名鉄協商は個人情報が実際に外部へ流出した事実や、不正利用を確認していません。 したがって、本件は「最大○件が漏えいした」と表現できる段階ではありません。現時点で確認されているのは、攻撃を受けた環境にMKPポイントカードの会員情報が存在し、調査の結果、外部漏えいのおそれを否定できない状態にあるということです。 名鉄協商は7月28日の全社向け公表でも、複数サーバーに対する攻撃を確認した一方、顧客情報が外部へ流出したことを示す事実は確認されていないとしています。 攻撃者が情報を閲覧したのか、外部へ転送したのか、ランサムウェアによる暗号化以外にデータ窃取が行われたのかについては、公表資料から確認できません。 8月4日に対象会員へ通知、メール未着を考慮しWebでも公表 名鉄協商は、漏えいのおそれがある対象者への個別通知を順次進めています。 8月12日に公表した個別案内の実施状況によると、MKPポイントカード会員には8月4日に案内を行いました。 8月27日のMKPポイントカード向け発表では、対象となる可能性がある会員へ8月上旬にメールを送ったものの、メールアドレスの変更や受信設定などによって一部の会員へ届いていない可能性があるため、個別案内を補完する目的でWebサイトにも掲載したと説明しています。 対象者への連絡が届かなかったケースを想定し、個別通知だけでなく公開告知を併用した形です。 フィッシングやパスワードリスト攻撃などの二次被害に注意 現時点で、今回の情報を悪用した二次被害は確認されていません。 ただし、氏名、住所、生年月日、電話番号、メールアドレスに加えてパスワードも対象範囲に含まれているため、実際に情報が外部へ取得されていた場合には複数の二次被害が想定されます。 メールアドレスや氏名などは、名鉄協商やMKPポイントカードを装ったフィッシングメール、SMS、電話などに利用される可能性があります。また、パスワードを他サービスでも使い回していた場合は、パスワードリスト攻撃によるアカウント乗っ取りのリスクもあります。 名鉄協商は、不審な電話、メール、郵便物に注意し、身に覚えのない連絡で個人情報、認証情報、クレジットカード情報などの入力や回答を求められても安易に応じないよう呼びかけています。 同社は、セキュリティ上の理由から、電話などで会員情報を聞き取ることはないとも案内しています。 MKPポイントカードは一部機能が停止、年内の全面復旧を目標 ランサムウェア事案の影響は、情報漏えいのおそれだけでなくサービス運用にも続いています。 8月27日時点で利用できるのは、MKPポイントを使用した駐車料金精算と、チャージ済み残高を使用した駐車料金精算です。 一方、新規会員登録、クーポン、来店ポイント申請、マイページへのログインは利用できません。マイページ停止に伴い、クレジットカードによるチャージ、商品交換、会員情報変更、カード再発行、解約申込なども停止しています。 名鉄協商は、安全性を確認しながら段階的にサービスを再開し、全サービスについて2026年内の復旧を目標としています。 同一インシデントでは複数サービス・委託元へ影響 今回のランサムウェア事案の影響はMKPポイントカードだけに限定されていません。 名鉄協商は7月28日、複数サーバーに対する攻撃と顧客情報の漏えいのおそれを公表し、その後、カーシェア「カリテコ」、パーキングオーナー、月ぎめ駐車場利用者、名鉄カナエルショップ利用者などへ順次案内を行っています。 また、名鉄協商へ駐車場管理業務などを委託していた外部組織からも、保管情報が影響を受けた可能性が公表されています。 セキュリティ対策Labでは、7月2日時点の名鉄協商のランサムウェア事案と、中電不動産の顧客情報約4,000件に漏えいのおそれが生じた事案についても整理しています。 関連記事：名鉄協商、ランサムウェアによる不正アクセスの痕跡を確認 各種Webサービスでシステム障害 継続 関連記事：中電不動産、名鉄協商へのサイバー攻撃で個人情報漏洩の恐れ 情報システム部門への示唆 今回の続報で特に確認すべきなのは、ランサムウェア事案では「暗号化されたか」だけでなく、攻撃者がアクセス可能だった情報を後から精査する必要がある点です。 初報時点では外部への情報流出が確認されていなくても、フォレンジック調査の進展によって、情報が保存されていたサーバーが攻撃対象だったことや、外部流出を否定できない範囲が後から明らかになるケースがあります。 そのため、ランサムウェア検知後の調査では、暗号化された端末・サーバーだけでなく、侵入期間中に攻撃者が到達可能だったシステム、共有ストレージ、バックアップ、認証基盤まで含めたデータスコーピングが必要です。 また、今回の対象情報にはパスワードが含まれています。認証情報を扱うシステムでは、保存時の強固なハッシュ化、ソルトの利用、平文パスワードを保持しない設計に加え、侵害時に迅速なパスワードリセットを行える運用を準備する必要があります。 外部決済サービスを利用することでクレジットカード情報を自社システムから切り離していた点も重要です。保持する個人情報を必要最小限にし、決済情報など高リスクな情報を専門サービスへ分離することは、侵害発生時の影響範囲を限定する手段になります。 さらに、名鉄協商の事案では自社サービスだけでなく、委託元や取引先が保有する情報にも影響が広がっています。委託先として他社データを扱う企業は、データの所有者、保存場所、保持期間を管理し、インシデント発生時に委託元ごとの影響範囲を迅速に切り分けられる状態にしておく必要があります。 出典 不正アクセスによる個人情報漏えいのおそれに関するお詫びとお知らせ（MKPポイントカード会員様） - 名鉄協商 システム障害の現状と今後の対応について - 名鉄協商 MKPポイントカード 不正アクセスに伴うお客様情報漏洩のおそれに関するお知らせ - 名鉄協商 お客様情報漏えいのおそれに関する個別案内の実施状況につきまして（8月12日時点） - 名鉄協商 不正アクセスによるシステム障害発生に関するお知らせ - 名鉄協商 業務委託先における不正アクセスに伴うお客さま情報漏えいの可能性について - 名古屋鉄道 名鉄協商、ランサムウェアによる不正アクセスの痕跡を確認 各種Webサービスでシステム障害 継続 - セキュリティ対策Lab 中電不動産、名鉄協商へのサイバー攻撃で個人情報漏洩の恐れ - セキュリティ対策Lab

ブログ