JAL顧客管理システムに不正アクセス マイレージ会員情報最大75万件流出の可能性

   日本航空（JAL）は2014年9月24日、顧客情報管理システムに不正アクセスがあり、顧客情報最大75万件が流出した可能性があると発表した。

   JAL広報部によると、9月19日と22日にシステムの反応が遅くなる障害が発生。原因調査のために通信記録（ログ）を参照したところ、顧客情報が香港のIPアドレスを持つサーバーに対して送られた形跡があることが明らかになった。不正アクセスは7月30日以降に行われ、8月18日以降に個人情報が流出した可能性があるという。

   流出した可能性があるのは、「JALマイレージバンク」会員約2800万人のうち、最大11万人分。JALでは流出したデータの大きさから顧客情報の件数を試算しているが、仮にデータが圧縮されていた場合、件数は最大75万件に膨らむ。

サイバー攻撃目的の「標的型メール」が原因の可能性

JALでは情報流出の原因調査を進めている

   JAL社内のPC23台に「マルウェア」と呼ばれる悪意のあるプログラムが埋め込まれていたことが明らかになっており、そのプログラムが顧客管理システムに対して顧客情報を抜き出すコマンドを送っていた可能性があるという。23台のうち22台は東京・東品川のJAL本社、1台は福岡支店に設置。そのうち、12台が顧客管理システムへのアクセスが可能で、うち7台が実際にデータを送信した可能性がある。いずれのPCもウイルス対策ソフトを導入しており、USBメモリの接続は許可されていなかった。ただ、これらのPCからメールの送受信は可能で、サイバー攻撃目的で特定企業に向けて送りつけられる「標的型メール」が原因の可能性がある。

不正にマイルが引き替えられる可能性は低いと説明

   流出した可能性があるのは、（1）会員番号（2）入会年月日（3）氏名（4）生年月日（5）性別（6）自宅住所、電話番号（7）勤務先名、勤務先住所、電話番号、所属部門（8）電子メールアドレス。パスワードやクレジットカード番号の流出は確認されておらず、今回の情報流出をきっかけに不正にマイルが引き替えられる可能性は低いとみている。

   現時点では、情報が流出した可能性がある顧客の特定作業を進めており、特設窓口（0120-25-9750、平日0800～2100、休日0900～1730）を設けて対応する。

   JALは2014年2月にも、ウェブサイトの不正ログインが原因で少なくとも40人がマイルを不正に引き替えられるというトラブルを起こしている。この件と今回の不正アクセスとの関連は「今のところ全くない」としている。