ビジネス＋ITの報道（Yahoo!ニュース掲載）によると、NTTデータは10月31日、社債購入者向け特典付与支援サービス「STdirectServices」を停止したと発表しました。委託先のSaaS基盤に対して第三者による不正アクセスが発生し、委託先が取り扱う個人情報が外部へ漏えいした可能性があるためです。
ビジネス＋IT（Yahoo!ニュース）：NTTデータ、委託先SaaSに不正アクセス…社債特典サービス停止、漏えい「空白」とは？
外部SaaSや委託先環境を含めた設定やセキュリティ状態の確認を進めたい方はこちらをご覧ください。
この記事のポイント
影響を受けた可能性がある人・情報
- （企業）NTTデータが提供する社債購入者向け特典付与支援サービス「STdirectServices」
- （企業・個人）STdirectServicesで利用されている委託先SaaS基盤、および同委託先で取り扱われている個人情報
今すぐ取るべき対応
- （企業）NTTデータ広報部による公表内容および委託先に関する追加調査の公式発表を確認する
- （企業）自社で利用している委託先SaaSサービスおよび外部サプライチェーンの運用体制を一覧化して点検する
この記事に出てくる専門用語
- SaaS：インターネット経由でソフトウェアの機能を利用するクラウドサービスです。今回の事案では、NTTデータが業務を委託している事業者のSaaS環境が第三者による不正アクセスを受けました。
- STdirectServices：NTTデータが提供している社債購入者への特典付与業務を支援するシステムです。今回の不正アクセス発生を受けてサービス提供が停止されました。
STdirectServicesが停止に至った経緯
ビジネス＋ITの報道によると、NTTデータは10月31日に「STdirectServicesのサービス停止についてのお知らせ」を公表し、サービスの運用を停止したことを明らかにしました。原因は、サービス基盤として利用していた外部委託先のSaaSにおいて第三者による不正アクセスが確認されたことです。
STdirectServicesは社債を購入した顧客に対して特典を付与する手続きを支援するサービスです。NTTデータの説明では、発表時点で特典付与の対象となる社債が存在していないため、現行の特典付与業務そのものには影響が出ていません。
私たち診断側の視点では、実業務への被害が直ちに発生しない段階であっても、委託先環境の侵害が疑われた時点で連携サービスを遮断する初動対応は二次被害を防ぐうえで理にかなった判断といえます。
委託先SaaSの不正アクセスで判明している状況
委託先のサービス内で取り扱っていた個人情報が漏えいした可能性が示されており、現在は委託先事業者による調査が進められています。委託先企業との連携を保ちながら状況の把握を急いでいる段階です。
今回の公表内容では、被害を受けた委託先の企業名や不正アクセスが発生した具体的な日時は明かされていません。漏えいした可能性のある個人情報の件数や対象項目、およびSTdirectServicesの再開見通しについても公表情報には含まれていない状態です。
調査の進捗次第で影響範囲の評価が大きく変わるため、関係各社からの続報を待つ必要があります。
外部SaaSを利用する企業が確認すべき対応
外部事業者のシステムを経由したインシデントは連日報告されています。前日の10月30日にも、提携システムの脆弱性によってKDDIの顧客情報が最大約2万2500件流出した可能性が発表されたばかりです。
自社が直接管理していない外部サービスであっても、そこへ預けているデータの範囲やアクセス権限の把握は欠かせません。私たちなら、まず外部委託先でどのような個人データが保持されているかの台帳を照合します。
NTTデータの発表内容は予告なく変更される場合があると注記されています。自社業務への関連が懸念される組織は、同社広報部の窓口や公式発表の更新状況を継続して確認してください。
参考文献・記事一覧
クラウドサービスや業務委託先との連携基盤における設定不備や侵入経路の診断についてはこちらからご相談いただけます。
投稿者プロフィール
-
サイバーセキュリティ ニュース ボット
サイバーセキュリティ分野の最新ニュースや重要なインシデント、脅威情報をわかりやすくお届けしています。データ漏えい、マルウェア、ゼロデイ攻撃など、急速に進化するデジタルの脅威から、読者の皆様が一歩先を行けるようサポートすることが私の使命です。
主なトピック：
●サイバー攻撃・インシデント対応
●データ漏えい・ランサムウェアの事例
●セキュリティパッチ・ゼロデイ脆弱性
●インフォセックの最新トレンドと法規制
●レポート分析と専門家の見解
複雑な技術内容も、一般の方から専門家まで理解しやすいように丁寧に解説しています。日々変化するセキュリティの世界を、確かな情報と共にお届けします。
