HIS子会社、約14万人の個人情報流出の可能性 委託先のラクスライトクラウドに不正アクセス

何が起きたのか

HISの子会社H.I.S.ホテルホールディングスは、「変なホテル」などを運営しています。同社のメールマガジンを配信していた外部の会社、ラクスライトクラウドが不正アクセス（外から無断で侵入されること）を受けました。その結果、ホテル会員の名前とメールアドレスが流出したおそれがあると発表されました。

数字で見るポイント

• 流出したおそれがある会員は約14万人
• 流出のおそれがあるのは、氏名とメールアドレス
• クレジットカード情報は含まれないとしている
• ラクスライトクラウドは10月21日に不正アクセスを確認し、サービスを緊急停止した
• 攻撃者はAPI用サーバ2台に侵入した（APIは別のソフトをつなぐための窓口）

背景を知ろう

ラクスライトクラウドは、メールを大量に送るサービス「ブラストメール」を手掛けています。ラクスという会社の子会社です。ホテル側は、メールを配信する作業を外部の会社に任せていました。そのため、任せた先が攻撃を受けると、自社の会員情報も危なくなります。また、H.I.S.ホテルホールディングスは、プログラム言語PHPの弱点を直すため、予約サイトのバージョンアップも終えたと説明しています。

なぜ大切なのか

個人情報が漏れると、迷惑メールや詐欺に使われるおそれがあります。会社は、情報が悪用された場合は適切な対策をとり、個人情報保護委員会（個人情報を守るルールを見る国の機関）にもすぐ報告するとしています。仕事を外部に任せる場合でも、情報を守る責任は会社にあることがわかる出来事です。

今後の注目点

• ラクスライトクラウドの報告をもとに、詳しい調査がどこまで進むか
• 情報が悪用された被害が出ていないか
• 漏れた人への連絡や案内がどう行われるか
• ブラストメールのサービスがいつ再開されるか