当社連結子会社における不正アクセスによる個人情報漏えいに関する調査結果及び再発防止策について
株式会社カインドオル（当社連結子会社）
ECプラットフォーム
フィッシングメールを通じたスタッフアカウントの認証情報の窃取。二段階認証が設定されていなかったことに加え、フィッシング攻撃を前提とした認証方式の選択及びアカウント保護、顧客情報の一括エクスポート権限の設計、並びに重要な操作を早期に把握するための監視体制が十分でなかったこと。
専用お問い合わせ窓口の運営等の対応費用が発生しているが、金額は非開示。連結業績への影響は軽微。
2027年2月期の連結業績予想に変更はありません。
関係する手続き
個人情報保護委員会への確報提出、警察への相談及び被害届の提出に向けた手続き
個人情報保護委員会、警察
会社の対応
当該子会社による調査。フィッシングメール、従業員PCのログ、ECプラットフォーム運営会社によるアクセス・操作履歴を突き合わせて調査。第三者委員会・特別調査委員会は非開示。
全スタッフアカウントにフィッシング耐性を考慮したパスキー方式による二段階認証を導入／アカウントの棚卸し／顧客情報の一括エクスポート権限の限定／重要な操作に関する確認及び社内エスカレーションの運用の見直し／情報セキュリティマニュアルの整備／フィッシング対策訓練を含む教育／権限の定期的な棚卸し及び監視体制の整備／全グループ会社に適用する情報セキュリティ対策ガイドラインを整備し、全グループ会社において情報セキュリティ責任者を選任／サイバーセキュリティインシデント対策チーム（CSIRT）の運営方針を改正し、全グループ会社を含めた運用及び報告の体制を整備／情報セキュリティ連絡協議会を設置し、定期的な開催を通じてグループ全体のサイバーセキュリティ体制の継続的な強化体制を整備／全グループ会社において利用する外部ツールについて、アカウント管理、権限及び認証の状況の棚卸しを定期的に実施
再発防止策を順次進める。被害届の提出に向けた手続きを進める。専用お問い合わせ窓口を当面の間運営する。
今後、開示すべき事項が生じた場合には、速やかに知らせる。
| 項目 | 内容 |
|---|---|
| 事象の名称 | 当社連結子会社における不正アクセスによる個人情報漏えいに関する調査結果及び再発防止策について |
| 対象となる主体 | 株式会社カインドオル（当社連結子会社） |
| 対象拠点・対象製品 | ECプラットフォーム |
| 原因 | フィッシングメールを通じたスタッフアカウントの認証情報の窃取。二段階認証が設定されていなかったことに加え、フィッシング攻撃を前提とした認証方式の選択及びアカウント保護、顧客情報の一括エクスポート権限の設計、並びに重要な操作を早期に把握するための監視体制が十分でなかったこと。 |
| 業績への影響額 | 専用お問い合わせ窓口の運営等の対応費用が発生しているが、金額は非開示。連結業績への影響は軽微。 |
| 業績予想への影響 | 2027年2月期の連結業績予想に変更はありません。 |
| 訴訟・手続きの種類 | 個人情報保護委員会への確報提出、警察への相談及び被害届の提出に向けた手続き |
| 裁判所・当局 | 個人情報保護委員会、警察 |
| 調査体制 | 当該子会社による調査。フィッシングメール、従業員PCのログ、ECプラットフォーム運営会社によるアクセス・操作履歴を突き合わせて調査。第三者委員会・特別調査委員会は非開示。 |
| 再発防止策 | 全スタッフアカウントにフィッシング耐性を考慮したパスキー方式による二段階認証を導入／アカウントの棚卸し／顧客情報の一括エクスポート権限の限定／重要な操作に関する確認及び社内エスカレーションの運用の見直し／情報セキュリティマニュアルの整備／フィッシング対策訓練を含む教育／権限の定期的な棚卸し及び監視体制の整備／全グループ会社に適用する情報セキュリティ対策ガイドラインを整備し、全グループ会社において情報セキュリティ責任者を選任／サイバーセキュリティインシデント対策チーム（CSIRT）の運営方針を改正し、全グループ会社を含めた運用及び報告の体制を整備／情報セキュリティ連絡協議会を設置し、定期的な開催を通じてグループ全体のサイバーセキュリティ体制の継続的な強化体制を整備／全グループ会社において利用する外部ツールについて、アカウント管理、権限及び認証の状況の棚卸しを定期的に実施 |
| 今後の見通し | 再発防止策を順次進める。被害届の提出に向けた手続きを進める。専用お問い合わせ窓口を当面の間運営する。 |
| 続報の予定 | 今後、開示すべき事項が生じた場合には、速やかに知らせる。 |
この書類が述べていない項目（13件）
会社がこの書類で述べていない項目です。空欄にしたり、他の資料や推測で補ったりはしません。
会社が挙げている理由
会社自身の説明です。数値から推測したものではありません。フィッシングメールを通じてスタッフアカウントの認証情報が窃取されたことに加え、二段階認証、認証方式・アカウント保護、一括エクスポート権限の設計、重要操作の監視体制が十分でなかったため。