フラット35の関連情報37000件流出。被害と状況について確認してみた。

先日、住宅金融支援機構よりフラット35利用者の情報が漏洩した可能性がある。といったアナウンスがありました。

業者が確認した所、住宅金融支援機構の業務で利用しているメールシステムに不正アクセスが発生しその関係で特定期間やり取りしていた利用者の関連情報がごっそり持って行かれてしまったそうです。

新築を検討されている方や既に建て終わった方、利用された方も利用されていない方も一度はフラット35検討されたでしょう。私もしました。

今回はその被害範囲と状況などについて簡単に確認＆ご紹介。

被害状況

さて、被害状況については住宅金融機構自身が公開しています。→こちら
実際には業務提携をしている「株式会社優良住宅ローン」にて漏洩が発生したようです。

この資料によると被害状況は以下の通り

総被害人数

合計37,247名分の情報が流出

漏洩情報・人数内訳

フラット35返済中の人

件数：35,738名

漏れた可能性のある情報

• 返済口座情報
• 引き落とし金額
• 契約番号

借り入れ手続きをしていた人

件数：112名

漏れた可能性のある情報

• 氏名
• 住所
• 生年月日
• 国籍
• 電話番号
• 勤務先
• 年収
• 連絡先メール
• 資金計画
• 物件情報

漏れすぎ。。

抵当権設定登記をした人

件数：93名

漏れた可能性のある情報

• 氏名
• 住所
• 物件情報
• 抵当権情報

つなぎ資金を利用した人

件数：1,188名

漏れた可能性のある情報

• 氏名
• 住所
• つなぎ融資実行情報
• 債権番号

問い合わせ、資料請求をした人

件数：233名

漏れた可能性のある情報

• 氏名
• 住所
• 電話番号
• メール

以上が漏れた可能性がある情報一覧です。

漏れた人数で言うと契約済みの約3.5万件がエグいですが漏れた内容的には借り入れ手続きを実施していた人が悲惨ですね。資金状況や返済計画丸裸です。

うちの情報漏れてるの？

さて、ここで気になるのがフラット35を利用した人。利用しようとした人の自分の情報が漏れたのかどうかです。

結論から言うと、漏れた可能性がある方には直接ダイレクトメールが届くのでソチラを確認されるのが確実ですね。

コレだけの漏洩を起こしてしまった以上、専用窓口も開設されているのでソチラに問い合わせをしてもなにかしら回答が得られるかと思います。

専用窓口は→こちら

被害発生までの経緯

今回の被害までの簡単な経緯としては以下の通り。

1. メール管理サーバーのID/PASSを何かしらの方法で取得した攻撃者がメール管理サーバーに不正アクセス
2. 攻撃者が役職員５名？のメールアカウントに転送設定を行い、受信したメールを社外へ転送
3. 転送されたメールから約４万件の利用者情報が流出

といった所でしょうか。

上記の「メールを転送されている」問題を9/30にシステム管理者が発見し、その後10/3に「情報開示を条件にした金銭の要求」（情報の人質）が発生したそうです。

そして同日、警察及び弁護士への相談を行ったとのこと。

その後10/6にHP上で公開されたのですが問題の発覚から、ホームページ上での公開まで６日です。被害者からしたらたまったものではないですが、これはかなり素早い対応ですね。

被害環境を勝手に考えてみる

今回の問題はメール管理環境のID/PASSの漏洩だそうです。

社内への不正侵入やマルウェア等情報は記載されていないので、メール管理サーバーは社外（インターネット上）からアクセスが可能な場所に設置されていたのでしょうか。

つまり最近主流なO365やGoogleApps、VerseなどのクラウドサービスかSaas型のメールサービスなどを利用したメール環境を利用されていたのでしょう、多分。

これらのサービスも通常セキュリティ対策として

• 社内からの接続に限る
• ２要素認証
• 証明書

など対応可能でしょうから、通常IDとPASSが漏れただけでは管理環境へのアクセスは困難なのですが。。実施していなかったのでしょうか。

上記勝手な推測なので厳重な対応をしていた上での漏洩かもしれませんが、今回漏洩した情報は

9/10-9/30の間に役職員５名がメールでやり取りした内容

に記載されていた情報とのことです。二十日ばかりで４万件程の個人情報をやり取りするのであれば相応のセキュリティ対策は講じてほしいですね。というかそんだけの個人情報メールでやり取りしていいのか。

まとめ

昨今のセキュリティ事情的に、完全に情報を守る。というのはとても困難な時代になっています。

それでも、「じゃあ住宅金融支援機構は使わなーい」と言い切れる人もそういないでしょう。こんな事件後でも利用しなければならない状況は出てくると思います。

住宅ローンという一世一代の大金借り入れを処理する機構さんでは相応のセキュリティ対策を求めたい所です。