10月19日、エイチ・ツー・オー リテイリングと阪急阪神百貨店は、約126万人のH2O ID会員に関連する記録の一部が漏えいしたと発表した。ASCII.jp English Editionの報道によると、このインシデントは共通ロイヤルティIDシステムのほぼ全会員に影響を及ぼしている。H2O IDをお持ちの方は、詳細の一部が依然不明な状況であっても、このH2O IDデータ漏えいチェックリストが今すべきことを網羅している。

H2O ID漏えいで何が流出したか

H2O IDは、阪急阪神百貨店グループのサービス全体で使われる共通ログインである。同社は、約126万人の会員記録の一部が漏えいしたと述べており、報道の見出しでは影響がほぼ全会員に及ぶと表現されている。

入手できた報道の抜粋では、どのデータ項目が露出したのか、どのように漏えいが発生したのか、誰が記録を入手したのかは明記されていない。推測するつもりはない。会員は小売事業者からの公式通知に注意を払うべきであり、そこには関与した項目が正確に示されるはずだ。それまでは、ロイヤルティプログラムに提供した氏名や連絡先などの個人情報が関与している可能性があると想定するのが賢明である。

重要なのはその規模である。単一の共通IDが多数の店舗やサービスをつなぐ場合、1件のインシデントが一度に顧客基盤のほぼ全体に影響し得る。

ロイヤルティカード会員に対するフィッシングのリスク

小売会員情報の漏えい後に最もよく見られる二次的な問題は、銀行口座への劇的なハッキングではない。フィッシングである。犯罪者は漏えいした会員リストを使い、小売事業者から来たように見えるメッセージを送信し、しばしばポイント、特典、アカウント確認に言及する。

次のパターンに注意してほしい：

  • H2O IDが停止されたと称し、リンク経由でのログインを求めるメールやテキストメッセージ。
  • ロイヤルティポイントの失効や抽選に関するメッセージ。
  • 漏えい自体に言及し、アカウントの保護を「手伝う」と申し出る電話やメッセージ。
  • メッセージや電話でパスワード、ワンタイムコード、支払いカードの詳細を要求するもの。

本物の企業がパスワードや確認コードを求めることはない。メッセージが気になる場合は、その中のリンクを使わないこと。小売事業者の公式アプリを開くか、自分でブラウザにアドレスを入力すること。

資格情報の使い回しも問題である。H2O IDのパスワードを他のどこかで使っていた場合、攻撃者は同じ組み合わせを他のサービスで試すことができる。これが成立するのはパスワードを使い回している場合だけであり、だからこそ次のステップが重要なのである。

H2O IDデータ漏えいチェックリスト：アカウントを守る方法

次の手順を順番に進めてほしい。ほとんどは数分で完了する。

  1. H2O IDのパスワードを変更する。 他のどこでも使ったことのない、長く固有のパスワードを選ぶこと。パスワードマネージャーを使えば実践しやすい。
  2. 使い回しているパスワードを変更する。 古いパスワードを共有している他のアカウントを探し、メール、銀行、ショッピングのアカウントから始めて、それぞれを更新する。
  3. 二要素認証（2FA）を有効にする。 提供されている場所すべてで、特にメールアカウントでは、他のログインをリセットできるため重要である。一般に認証アプリはSMSコードより強固である。
  4. アカウントの詳細を確認する。 H2O IDに紐づく個人情報や保存された支払い方法を確認し、不要なものは削除する。
  5. 最近のアクティビティを確認する。 ポイント残高、注文、保存されたカードについて、心当たりのない活動がないか確認する。
  6. 公式サイトとアプリをブックマークする。 メッセージ内のリンクではなく、これらを使うこと。
  7. 明細を監視する。 今後数週間、カードや銀行の明細で身に覚えのない請求に注意する。

疑わしいリンクをすでにクリックした、または疑わしいページにパスワードを入力した場合は、直ちにそのパスワードを変更し、支払い詳細を共有した場合はカード発行会社に連絡してほしい。

露出した個人データへの対処に関するより広範な枠組みについては、ペンタゴン・データ漏えい対応手順のガイドで、情報が漏えいした人々向けの同様のプロセスを説明している。

ロイヤルティプログラムが必要以上に情報を集める理由

ロイヤルティプログラムは、割引に必要な以上の情報を求めることがよくある。氏名、住所、電話番号、生年月日、購入履歴などである。こうしたデータはマーケティングに役立つが、同時に漏えいすれば標的となり負債ともなる大量の情報プールを生み出す。

共通IDはこれを一層顕著にする。多数の店舗やサービスで機能する単一のログインは便利だが、リスクを集中させる。単一の弱点が、大規模で多様な顧客層を露出させ得るのである。

日本では最近、大量の個人データに関わる他のインシデントも発生している。Reqreaホテルチェックイン漏えいに関する我々の報道は、設定不備のストレージバケットが身分証明書を露出させた別の事例を扱っているが、同じ原則を示している。組織が保有するデータが少なければ少ないほど、露出し得るものも少なくなる。

顧客として、プログラムが要求する情報だけを提供し、任意項目を省略し、使わなくなったアカウントを削除することで、露出を減らすことができる。

あなたにとって何を意味するか

H2O IDをお持ちなら、影響を受けた可能性があるものとして扱い、何が漏えいしたかの正確な確認を待つのではなく、今すぐ行動してほしい。実際のリスクは、会員資格を餌にしたフィッシングメッセージと、攻撃者が使い回されたパスワードを他のサイトで試すことである。どちらも固有のパスワード、2FA、そして予期しないメッセージへの健全な疑いによって管理できる。

慌てず、漏えいについて促されずに連絡してくる相手には応答しないこと。更新情報は小売事業者の公式チャネルに依拠してほしい。

主なポイント

  • 今日、H2O IDおよび他のロイヤルティアカウントを見直し、使わなくなったものは削除する。
  • アカウントごとに固有のパスワードを使い、2FAを有効にする。
  • ポイント、停止、漏えい自体に関するメッセージは、公式チャネルで確認するまで疑わしいものとして扱う。
  • 次に小売事業者が漏えいを公表した時のために、このH2O IDデータ漏えいチェックリストを手元に置いておく。

露出した個人データを保護するためのさらなる手順については、ペンタゴン漏えい対応ガイドとReqrea漏えいの記事をお読みください。