ドトール通販で2万4771件に情報漏えいのおそれ 定期購入は休止

ドトールコーヒーは11月6日、公式通販サイト「ドトール オンラインショップ」に不正アクセスがあり、会員情報など計24,771件の個人データが外部に漏えいした可能性があると公表しました。通販サイトは一時停止し、定期購入も休止しています。一方、受注が確定した商品は随時発送の手続きを進めるとしています。利用者は注文の状態と定期購入を分けて確認し、同社や関係会社を名乗る不審な連絡に注意してください。

管理画面へのアクセスは10月24日から25日

ドトールコーヒー：公式通販サイトの個人情報漏えいの可能性に関する11月6日発表によると、10月28日に決済代行会社から、通販サイトに不審な動きがあると連絡がありました。開発・保守管理の委託先が調べたところ、10月24日から25日にかけて第三者が管理画面に不正アクセスし、会員情報が出力・閲覧されていたことが判明しました。ドトールは10月30日に報告を受け、委託先とともに原因と影響範囲を調査しています。

管理画面への不正アクセスがあった期間、外部からの連絡を受けた日、同社が報告を受けた日、公表日は異なります。発表では管理画面への侵入手法の詳細までは説明されていません。特定の脆弱性やパスワードの使い回しが原因だったとは判断できず、ランサムウェア被害との説明もありません。11月6日の発表時点で、本件に関連した二次被害は確認されていないとしています。

対象件数とデータ項目を区別する

対象は10月25日までに通販サイトへ会員登録した顧客の情報です。内訳は会員情報24,762件とお届け先情報9件で、合計24,771件です。この件数を、そのまま重複のない被害人数と読む説明はありません。また、会員情報が出力・閲覧されたことと、全件の外部流出が確定したことは区別します。同社の公表は個人データが漏えいした可能性に関するものです。

会員情報には会員ID、氏名、住所、メールアドレス、電話番号、購買情報などが含まれます。会社名、生年月日、性別、職業、My店舗情報は登録がある場合の項目です。お届け先情報には氏名と住所の都道府県が挙がっています。一方、ログインパスワードとクレジットカード情報は、外部へ漏えいしていないことを確認したとしています。決済代行会社の連絡が発端だったことだけで、カード情報も流出したと付け加えないことが必要です。

同社は通販サイトの停止に加え、アクセス制限の強化などの対策、個人情報保護委員会への報告、所轄警察への相談・連携を行っています。対象者ごとの情報の範囲や、原因に関する詳細は引き続き調査中です。今後、新たに知らせる事項が判明した場合は公表する方針です。

確定注文は発送手続き中で定期購入は休止

利用者への業務上の影響は、サイトの利用停止だけではありません。既に申し込み、受注が確定している商品は随時発送手続きが進められる一方、定期購入は一時休止です。定期的な配送を予定していた場合は、通常どおり届くと見込まず、公式のお知らせと問い合わせ窓口で状況を確認します。発表には再開予定日の記載はありません。

本サイトの提案として、注文確認メールなど手元にある受注記録を残し、発送済みか未発送かが分からない場合は正規窓口へ照会してください。サイトが停止していることだけを理由に、確定した注文がすべて取り消されたとは判断しないようにします。逆に、発送手続き中との案内を、休止された定期購入にも一律に当てはめることはできません。

電話窓口は11月11日から開設予定

発表に掲載された問い合わせ用メールアドレスは online-toiawase@doutor.co.jp です。電話窓口の 0120-840-555 は11月11日10時から開設予定で、受付は平日10時から17時、土日祝日は対象外です。11月7日時点で既に開設済みの窓口として扱わず、問い合わせ前に公式発表で最新の案内を確認してください。

同社は、不審なメール、SMS、電話に注意するよう求めています。メールや電話でパスワード、クレジットカード番号、セキュリティコードを尋ねることはありません。氏名や購買情報を示された場合でも、正規の連絡である証拠にはなりません。発送の再手続きや定期購入の再開を理由に情報入力を求められても、その場のリンクから進めず、自分で開いた公式案内の窓口と照合するのが本サイトの提案です。

関連記事

ドトール4店舗の従業員・退職者951人の情報流出可能性は、10月20日に検知された従業員情報の発表を扱っています。今回の通販会員情報の対象や発送対応を、その記事の対象範囲と混同しないようにしてください。