書類の無断ダウンロードなども確認、再開時期は未定
Shippioは11月4日、同社が展開している貿易業務効率化支援システム「Shippio Platform」が外部の第三者から不正アクセスを受けたと発表した。
不正アクセスは11月1日の午後7時30分頃から11月2日の午後5時頃にかけて、複数回あったという。その結果、顧客の情報の一部と、同社が保有している個人情報を含む情報の一部が外部に漏えいしたことと、システム上のデータの一部が損傷を受けたことを確認した。
同社は被害の拡大を防ぎ、調査と復旧を進めるため、11月2日の午前10時40分からShippio Platformのサービスを一時停止している。再開時期は現時点では未定。
不正アクセスを検知した11月2日以降、アカウントを10月30日時点で保有している全ユーザー（有料契約企業とその招待を受けた利用者）には、メールおよびヘルプセンター内ページで通知している。同社によると、現時点で、漏えいした情報が悪用された事実は確認されていないという。
10月30日からShippioの社内業務ツールに不正なアクセスがあったことを確認しており、現在は遮断済み。
Shippioによれば、漏えいしたのはシップメント情報（輸送の内容、日程、関係者など）、シップメントに登録している書類のファイル名と種類、会社名、チーム名、電話番号、住所。
このうち会社名、チーム名、電話番号、住所は全ての顧客の情報が閲覧されたことを確認したという。シップメント情報、書類のファイル名と種類もシップメントを登録いただいているユーザーのほぼ全てで閲覧されたほか、約1300件の書類ファイルが実際に無断でダウンロードされた。
Shippio社内の共有ファイルも一部が不正に閲覧・取得された。顧客情報が含まれている可能性があり、内容を調査している。
他にもユーザーの氏名とメールアドレスなどが漏えいしている可能性があるという。
Shippio Platformユーザーのパスワードは、ログインを管理する外部の認証サービスで管理しており、Shippioのシステムには保存していないため、今回の不正アクセスでは取得されていない。
このほか、不正なユーザーアカウントとAPI認証情報の作成（サービス契約アカウント約1100チーム）、一部の設定データの書き込みを確認したほか、シップメントへの悪意のあるファイルのアップロードも判明した。
不正にアップロードされた悪意のあるファイルについては、ユーザー側でダウンロードされた形跡は見つかっていない。シップメントなどの業務データの内容が書き換えられたことは現時点で確認されていない。
Shippioは不審なメールや電話に注意するよう呼び掛けている。
（藤原秀行）
