何が
起きているのか

01一社への侵入が、数百社の顧客へ

アララは第2報で、第三者がサービスのサーバーに不正にアクセスし、そこを経由して多数のサーバーに侵入したとしている。持ち出しが確認されたのは契約企業の環境のサーバー97台、対象企業は推計で最大約380社。預かっていたアドレスへは、配信基盤からクレジットカード会社を装う不審メールが最大約713万通送られた。

02説明するのは、委託した側

個人情報保護法第25条は、個人データの取扱いを委託する事業者に、委託先への必要かつ適切な監督を義務づけている。カカクコムは11月5日、利用者のメールアドレス約570万件の漏えいを公表し、別の委託先へ切り替えるとした。委託は、責任まで外に出せる仕組みではない。

03今日、経営者が決めること

顧客の情報をどこに預けているかの一覧を今日中に作らせること。そして、万一のときに誰が何を判断するかを決めておくこと。具体的な手順は「今日から72時間でやること」と「自社が当事者になったら」にまとめた。