印刷通販のキングプリンターズ、9月に自社の認証情報で生成AIを不正利用される。調査で顧客の個人情報の漏えいは確認されず
大阪市の印刷通販会社キングプリンターズは11月9日、9月10日に受けた不正アクセスについて、外部の専門機関がアクセスや通信の記録を詳しく調べたフォレンジック調査の結果を、最終報として公表した。攻撃者は、同社がシステム基盤で使っていた認証情報を悪用し、生成AIサービスを大量に利用していた。顧客の個人情報と注文データ、機密情報の外部への流出は、11月9日の時点で確認されていない。
不正利用があったのは9月10日の午前6時51分から午後1時44分までだ。攻撃者は生成AIサービスの呼び出しを複数のIPアドレスから続けたが、午後1時44分にサービスの側で利用制限がかかり、不正利用は止まった。
同社は9月10日に不正アクセスを検知し、被害の拡大を防いで安全を確かめるため、同日午後6時にサイトと関連機能を止め、9月14日午後4時に再開した。同社は9月25日に出した第2報で、社内調査をもとに、不正アクセスの目的は自社が持つ認証情報で生成AIサービスを不正に使うことだと見られると説明した。
フォレンジック調査では、攻撃者がデータベースやサーバー基盤、ファイルストレージにアクセスしたり操作したりした履歴はなく、データを書き換えたり持ち出したりした形跡も見つからなかった。通信ログを調べても、攻撃者のものと疑われるIPアドレスへのデータの送信は確認されなかった。顧客の情報を扱うシステムに攻撃者がアクセスを試みた痕跡も、実際に情報を取り出した記録も確認されなかった。
同社は、クレジットカードなど決済に使う情報を自社のサーバーに保持しておらず、顧客のログインパスワードについてはハッシュ化の処理をしたうえで保管している。
同社は、不正に使われた認証情報を不正アクセスのあった9月10日のうちに削除したほか、攻撃者が新たに作っていた認証情報も削除した。
同社は外部の専門機関の提言を受けた今後の再発防止策として、システム基盤の認証では固定の認証情報を使うのをやめ、必要なときに一時的な認証情報を発行して使う方式にそろえる。あわせて、自社が管理するクラウド環境の認証情報を洗い出して不要なキーを消し、アクセス権限を職務に必要な最小限に設計し直す。
【関連サイト】キングプリンターズ「不正アクセス検知に伴う調査結果および再発防止策のご報告【最終報】」
