Security NEXTでは、最新の情報セキュリティに関するニュースを日刊でお届けしています。

解析用委託データに顧客情報、URLや特定操作で混入 - 新生銀行グループ

新生銀行と新生フィナンシャルは、業務委託先や再委託先などへ、振込先の金融機関情報や暗証番号、メールアドレスといった顧客情報を誤って提供していたことを公表した。

業務委託先のウェブ解析事業者や広告メディアなどに対して提供したデータに、顧客情報が含まれていたもの。グループ会社のアプラスにおいてIDやパスワードを誤って提供していたことが判明したことから調査を行ったところ明らかになった。

「新生銀行カードローンエル」と「レイクALSA」では、会員向けメールの配信停止手続きを行った顧客それぞれ6293件、2108件のメールアドレスを提供。ウェブページで手続きを行うとURLに顧客のメールアドレスが含まれる状態となっていた。

また「レイクALSA」では、新規契約者向けウェブ手続きページにおいてURL情報のみ提供するところ、顧客が入力した融資の振込先金融機関に関する口座情報37件や、「レイクALSAカード」の暗証番号とメールアドレス51件が提供データ内に含まれていた。

データ入力後、画面上に配置された送信ボタンではなく、キーボードのエンターキーやスマートフォンのキーボード上の実行キーを押してデータを送信すると、入力内容が業務委託先に提供される仕様となっていたという。

(Security NEXT - 2021/09/28 ) このエントリーをはてなブックマークに追加

PR

関連記事

都パスポートセンターの従業員が書類送検 - 個人情報記載の付箋を窃取
「メッシュWi-Fi」の顧客情報が流出、ログサーバ侵害で - J:COM
農業委員会の調査フォームに不備、個人情報が流出 - 大阪府
採用応募者の履歴書が閲覧可能に、フォルダが公開設定 - Geolocation Technology
登録会員宛てのメールに個人情報を誤添付 - 教育サービス会社
メール誤送信で関係者メアド約1300件が流出 - 高エネルギー加速器研究機構
転職情報サイトで不具合 - 直近勤務先から登録情報が閲覧可能に
自治体向けサービスを提供するジチタイワークスにサイバー攻撃
学内端末でクラウドサービスのユーザー情報が閲覧可能に - 東大
「Proself」に対するゼロデイ攻撃で情報流出被害 - 国立環境研究所