不正アクセスによるお客様情報流出のお詫びと再発防止策についてのご報告

当社は、2024年5月13日付で、当社が提供するオンラインサービス(「ココグルメ」「ミャオグルメ」「ぺっとる」)を管理するサーバーへの第三者からの不正アクセスにより、お客様情報の一部が流出した件を公表いたしました。(こちら)

お客様をはじめ、多くの関係者の皆様に多大なご迷惑とご心配をお掛けしましたことを改めて深くお詫び申し上げます。

当社は、引き続きお客様の二次被害防止に努めるとともに、早急に再発防止策を実行していくことで、お客様からの信頼を回復すべく真摯に取り組んでまいります。

この度、外部専門機関の協力のもと進めてまいりました当該事案への調査が完了し、その調査結果及び再発防止策を取りまとめることができましたので、ご報告させていただきます。

記

1.不正アクセスの概要

今回の事案は、アプリケーションの脆弱性を利用した不正アクセスを通じてサーバーへのアクセスキーを詐取されたことによる情報流出であることが判明しました。本不正アクセスの方法が、マルウェア感染などではなく、正規のデータリクエストを装ったものであったことから、正常利用を含む多くのログの中から攻撃者の具体的不正アクセス手段を特定する必要があり、全容調査に期間を要しました。これまで調査結果のご報告をお待たせしましたことも重ねてお詫び申し上げます。

当社は、不正アクセスの発見後、直ちにそのアクセス元を遮断した上で当社が保有する全てのデータに対して安全確保のための緊急措置を講じました。なお、緊急措置以後は新たな不正アクセスが成功した痕跡は一切確認されておりません。

2. お客様情報の流出件数と内容（2024年5月13日付の公表件数からの変更はございません）

2022年1月13日～2024年5月3日までに「ココグルメ」および「ミャオグルメ」をご 注文または登録情報を変更いただいた198,200件分（アカウント数）の会員様情報の一部

1. ＜項目＞　氏名、住所、電話番号3点：　163,474件
2. ＜項目＞　氏名、住所、電話番号、メールアドレス、生年月日、性別、パスワードの7点：　34,726件
   ペットフード出荷時のログデータまたは会員様によるアカウント情報変更時のログデータが流出の対象となります

2018年3月5日～2024年5月3日 までに 「ココグルメ」「ミャオグルメ」「ぺっとる」にアップロードいただいた28,237件分*（アカウント数）の写真画像データ （*全件が個人情報の流出件数に該当するものではありません）

1. 「ココグルメ」および「ミャオグルメ」の画像データ：　18,149件
2. 「ぺっとる」の画像データ：　10,088件
   ＜項目＞　1、2とも基本はペットの写真ですが、一部に飼主様の顔写真や写り込み画像がある可能性がございます

※上記のほかココグルメおよびミャオグルメ会員様の愛犬・愛猫に関する情報としてペットのお名前、種類、年齢、健康に関するデータ8,525件が含まれておりました
※上記の件数はすべてアカウント数でございます
※クレジットカード情報、銀行口座情報は、全て金融代行機関に決済業務を委託しており、当社では一切保有しておりませんので、本件の流出対象となる心配はございません

3.これまでの対応の経緯

当社は、5月3日の不正アクセスの検知後、直ちに外部の専門家と共に徹底した事実調査・原因究明を開始し「不正アクセスによる会員様情報流出に関するご連絡及びお知らせ」公表と同時に「株式会社バイオフィリア 個人情報お客さま相談窓口」を設置して、本件流出対象のお客様へのご連絡及び状況説明を開始しました。また、お電話やお問い合わせフォームを通じて、お客様からのお問い合わせやご相談への対応と、二次被害防止の注意喚起を行ってまいりました。

なお、本件公表から現在まで、数多くのお客様より当社へお問い合わせやご相談をいただいた結果、本情報流出に係る具体的な二次被害の発生や、明確な因果関係が認められる内容・事象は現時点で確認されておりません。しかしながら、今後の不正流用の可能性も鑑みて、本事案の対象であるお客様には引き続きご注意をお願い申しあげる次第です。当社も引き続き「株式会社バイオフィリア 個人情報お客さま相談窓口」を通じて情報確認及び注意喚起を行ってまいります。

【株式会社バイオフィリア 個人情報お客さま相談窓口】
■お電話でのお問い合わせ
TEL：0120-854-011 （対応時間10:00～18:00）
■お問い合わせフォーム
https://forms.gle/hyXpcfCf7qjMtQo4A

4.再発防止策

本件調査結果を真摯に受け止め、今回不正アクセスの直接的原因となった外部からの不正データ取得への緊急対策を実施後、システムセキュリティ全般への再発防止策を策定し、速やかに実行にあたっております。新たな攻撃につながる可能性を考慮して詳細は差し控えますが、再発防止策の概要は下記の通りです。

• WAF（ Web Application Firewall ） の設置による不正アクセスの遮断
• 外部専門家による診断を実施し、その他の不正アクセスがないことの確認
• 不正アクセスに対する監視強化
• サーバーログ及びアクセスログの出力内容を見直し
• 社内ネットワーク及びサービスやコーポレートサイト等外部公開しているサービスに関する継続的な脆弱性診断の実施
• 上記診断に基づくネットワーク構成の見直しとセキュリティ強化
• システムや情報へのアクセス制御と権限の厳格化及びパスワードポリシーの強化
• 個人情報管理ルール及び情報セキュリティルールの見直し等による社内管理体制の強化

改めまして、お客様及び関係者の皆さまに多大なるご迷惑とご心配をおかけしましたことを、深くお詫び申し上げます。発生させてしまった事象について深く反省し、再発防止に努めてまいります。

今後、新たにご報告すべき内容が判明した場合は速やかに公表させていただきますので、何卒ご理解を賜りますようお願い申し上げます。