東証プライム上場の家電量販店Ｊｏｓｈｉｎ（8173）は10月26日付の第2報で、自社のネットワークへの不正アクセスによる被害規模の試算を公表し、会員情報データベースサーバーで最大約600万件の情報が漏洩した可能性があると明らかにした。件数は漏洩した可能性のある総件数であり、個人情報の漏洩が確定した人数ではないと強調している。
調査中の3システム
最も規模が大きいのは会員情報データベースサーバーで、漏洩した可能性がある項目は氏名、住所、電話番号、会員番号となっている。
2つ目のシステムとして挙げられた同社のサブスクリプションサービス「ジョーシンのサブスク」では、最大約23万件が漏洩した可能性がある。対象項目は会員番号、バイナリデータとして保存された手書きサイン付きの電話番号、ログインIDと初期パスワード、請求履歴、契約番号とデバイスID、有効化コードとしている。
3つ目のリフォーム写真アップロードシステムは最大約800件が対象で、運転免許証画像2件、マイナンバーカード1件、銀行口座番号5件のほか、リフォーム施工中の工事写真が含まれる。同社は該当する顧客に個別に連絡を取っているという。
同社は3つのデータの重複の有無を明らかにしておらず、これらを単純に合算して被害人数とみなすべきではない。
カード情報とサービスに関する同社の説明
同社は決済情報の非保持化に移行しているため、クレジットカード情報は保有していないと説明している。
ネットワークは依然として不正アクセスの影響を受けており、一部のサービスが利用できない状態が続いている。同社は10月16日に異常を検知し、ネットワークの一部がアクセスを受けた形跡を確認したため、形跡が見られるサーバーを遮断した上で外部専門機関に調査を依頼した。個人情報保護委員会および警察にも相談・報告を行っている。初報の内容についてはTokyo Briefの過去記事は初報を取り上げている。
第2報では、停止中のサービスの復旧時期は示されていない。同社は不正アクセスやその影響範囲、情報漏洩の有無について調査を継続し、新たな事実が判明した場合は自社のウェブサイトで公表するとしている。また、同社を装った不審なメールやSMS、電話への警戒や、身に覚えのないリンクへの注意を顧客に呼びかけた。