九州旅客鉄道（株）は１２日、同社が運営するクルーズトレイン「ななつ星ｉｎ九州」関連商品のＥＣサイト「ななつ星Ｇａｌｌｅｒｙ」で、外部からの不正アクセスにより、顧客のクレジットカード情報を含む個人情報が流出したことを明らかにした。サイトのシステムの脆弱性を狙った攻撃による不正アクセスと判明している。

カード情報流出の可能性は最大３０８６件

　情報が流出した可能性のある期間は、１３年１０月５日（サイト開設日）から、サイトを閉鎖する１９年３月１１日まで。流出の可能性が高い個人情報は最大７９９６人、クレジットカード情報の流出の可能性があるのは最大３０８６件（２８１６人）。流出した内容は、カード番号／有効期限／セキュリティコード／氏名／住所／郵便番号／電話番号／ＦＡＸ番号／性別／生年月日／メールアドレス／職業／パスワード（※暗号化処理済）／秘密の質問の答え（※暗号化処理済）。

流出の可能性が高い個人情報
（出典：九州旅客鉄道ホームページ）

　該当者にはメールおよび郵便で順次連絡をしている。また、クレジットカード会社と連携し、流出した可能性のあるクレジットカードによる取引へのモニタリング強化、不正利用の防止を実施している。

!nextpage!

流出の可能性を決済代行会社が指摘、直ちにサイト閉鎖

　同社によると３月１１日１５時頃、決済代行会社から、同サイトで利用されたクレジットカード情報が流出している可能性を指摘されたという。そこで、直ちにサイトの保守・管理を委託しているシステム会社へ依頼し、同日中にサイトを閉鎖。第三者調査機関のＰ．Ｃ．Ｆ．ＦＲＯＮＴＥＯ（株）（以下、ＰＣＦ）に調査を依頼した。

　その後、ＰＣＦの調査報告書により、サイト開設日以降に、同サイトを利用したユーザーのクレジットカード情報が流出した記録を確認。カード情報以外の個人情報も流出した可能性が高いことが判明した。個人情報保護委員会、九州運輸局、福岡県警察本部への報告も行っている。

「ななつ星Ｇａｌｌｅｒｙ」再開時期は未定

　「ななつ星Ｇａｌｌｅｒｙ」の再開については現在未定。システムのセキュリティ対策および監視体制の強化を行った上で、再開の時期について決定する考え。

■九州旅客鉄道（ＪＲ九州）

▽関連記事

・リスト型攻撃が多発、実害も…１８年ＥＣセキュリティ事故を総括