ニッポンレンタカーのアプリに不正アクセス、別の手法でも会員55人分が閲覧のおそれ
| 項目 | 内容 |
|---|---|
| 対象組織・業界 | ニッポンレンタカーサービス株式会社（レンタカー事業） |
| 対象システム | 「ニッポンレンタカーアプリ」（NRアプリ）の会員情報ページ |
| 9月26日の公表 | 会員41人分が閲覧されたおそれ。発生日は非公表 |
| 10月1日の公表 | 別の手法による不正アクセス。9月19日〜21日に発生し、9月29日に確認。会員55人分が閲覧されたおそれ |
| 攻撃手法 | 不正アクセス。具体的な手口は2つとも非公表。対象者の重複の有無も非公表 |
| 情報源 | ニッポンレンタカー 公式（9月26日）、同 公式（9月29日判明分）、ITmedia NEWS（9月29日）、ITmedia NEWS（10月2日）、Impress Watch、ScanNetSecurity |
ニッポンレンタカーサービスの会員アプリ「ニッポンレンタカーアプリ」（NRアプリ）が、第三者による不正アクセスを受けました。会員の個人情報が閲覧されたおそれがあります。同社はこれまでに2回公表しています。
同社はまず9月26日に、会員41人分の情報が閲覧されたおそれがあると公表しました。その後、この件を調べるなかで、9月29日に別の手法による不正アクセスを確認しました。そこで10月1日に、この不正アクセスについても公表しています。こちらは9月19日から21日にかけて行われ、会員55人分の会員情報ページが閲覧されたおそれがあります。
閲覧のおそれがある情報は、41人分と55人分で同じ項目です。全員に共通するのは氏名・電話番号・メールアドレス・ログインID・利用履歴・予約情報です。登録状況によっては、運転免許証番号・住所・生年月日も含まれます。クレジットカード番号の下4桁と名義人名も対象です。
41人と55人に重複があるかは公表されていません。2つの不正アクセスの侵入経路と具体的な手口も、明らかにされていません。
- 9月19日〜21日: 別の手法による不正アクセスが発生（55人分）
- 9月26日: 不正アクセスを公表（41人分）。対象者にパスワードの再設定を依頼
- 9月29日: 9月26日公表の件の調査中に、別の手法による不正アクセスを確認
- 10月1日: 別の手法による不正アクセスを公表。対象の55人にメールで連絡
同社は9月26日公表の件について、個人情報保護委員会に報告し、警察にも相談しています。
侵入経路は公表されていないため、以下は同種の事案に共通する打ち手です。
1つの手口を突き止めた段階で、調査の範囲を手口で区切らないことが大切です。本件のように、調べるなかで別の手口が見つかることがあるためです。
具体的には、会員情報ページへのアクセスとログインの記録を、手口で絞り込まずに集めます。期間も、最初に見つかった不正アクセスより前まで遡ります。そのうえで、次の2種類の記録を抜き出します。
- ログインしたアカウントと、開かれた会員ページの持ち主が一致しない記録
- 1つの端末やアクセス元から、短い時間に多くのアカウントでログインを試みた記録（失敗を含む）
前者は他人のページを直接開いた形跡で、後者は他人のIDとパスワードを次々に試した形跡です。どちらも、手口が分からない段階で、閲覧された会員の候補を絞り込む手がかりになります。
ただし、抜き出せるかはログの中身によります。後者は、失敗も含めたログインの記録があれば抜き出せますが、アクセス元を多数に分散されると偏りとしては表れません。前者は、ログイン中のアカウントと表示した会員の両方が、アプリのログに残っていないと抜き出せません。
ヤグラの視点 — 誰が誰の情報を開いたかを記録しておく
Section titled “ヤグラの視点 — 誰が誰の情報を開いたかを記録しておく”本件の対象は41人と55人で、同時期に公表が相次いだ数百万件規模の事案と比べると小さな数です。同社は会員情報ページへの不正アクセスと説明しており、会員のページを1人分ずつ開く形だったと考えられます。こうした閲覧は、データベースからまとめて持ち出す場合と違い、1件ずつは正規の利用と見分けにくくなります。
そのため、既知の手口に当てはまる通信を見つける検知だけでは、こうした閲覧は漏れやすくなります。本件のように手口が2つあれば、なおさらです。拾う手がかりになるのは、対策で挙げた2種類の記録です。
なかでも、他人のページを開いた形跡は、アプリが記録していなければログに残りません。そこで、ログイン中のアカウントと表示した会員を、1件ずつ結びつけて記録しているかを平常時に確認しておきます。記録していれば、手口が分からない段階でも、他人の情報が開かれた閲覧を拾えます。
- 2つの不正アクセスそれぞれの侵入経路と手口
- 9月26日公表の件の発生時期と、対象者の重複
- 運転免許証番号など登録情報の不正利用の有無
判明次第、本記事に追記します。
| 日時 | 内容 |
|---|---|
| 2026-10-08 | 第一報を公開 |
