リンツのオンラインショップ・公式アプリ会員情報漏えい（314万7,469件）：氏名・住所・電話番号・生年月日・ハッシュ化パスワードが漏えい、会員がやること

対象は、オンラインショップと公式アプリに登録している会員の情報です。情報が取得された10月18日0時16分の時点で退会済みの会員は含まれません。

同社は対象者に、登録メールアドレス宛で10月26日（月）から順次連絡するとしています。メールが届かない人には、発表ページをもって連絡に代えるとしています。届いたメールが本物か迷うときは、リンクを使わず、自分で開いた公式サイトの発表ページを見てください。

漏えいした項目にはログインパスワードが含まれます。同社によれば、ハッシュ化（そのままでは読み取れない形に変換）して保存していました。ただし、ハッシュの方式は公表されていません。短い・ありふれた文字列は、時間をかければ割り出されることがあります（パスワードのハッシュ化とは）。

同社も、同じパスワードを他のサービスで使っている場合は、そちらを変更するよう求めています。変えるときは、サービスごとに別のパスワードにして、使えるサービスでは2段階認証も設定します（2段階認証の始め方）。

オンラインショップの停止中は、リンツのパスワードを変更できません。同社は、オンラインショップと公式アプリのログインパスワードの変更を再開時に依頼する予定で、方法は発表ページで改めて案内するとしています。

「今すぐパスワードを変更してください」とリンクを付けて急がせるメールやSMSが来ても、そのリンクは使わないでください。変更の方法は、自分で開いた公式サイトで確かめます。

同社は、漏えいした情報を悪用し、同社やオンラインショップを装った不審なメール、SMS、電話、郵便物が届くおそれがあるとしています。同社は、メールや電話でパスワードやクレジットカード情報を尋ねることはないとしています。

住所と電話番号も漏れているため、偽の連絡はメールだけとは限りません。電話で求められたら、いったん切って、発表ページに載っている番号にかけ直してください（見分け方は フィッシングとは）。不審な連絡を受けたら、発表ページの窓口に知らせるよう同社は求めています。

今回、オンラインショップと公式アプリは共通の会員アカウントで、ショップを止めるとパスワードの変更もできなくなりました。同社は、変更の依頼を再開時に行う予定としています。ショップの販売機能を止めても、パスワードの再設定やログイン中の端末の締め出しだけは別に動かせるか、委託先の仕様を事前に確かめておくと、漏えいの直後に会員を守る手が打てます。

今回は、委託先が判明した当日（10月19日）に報告し、同社はショップの停止（10月21日）、公表と専用窓口の開設（10月23日）、対象者へのメール（10月26日から）と進めました。委託先経由の事故では、ショップを止める判断、公表文の分担、個人情報保護委員会への報告（今回は連名）を誰がいつ行うかを、契約や手順書で先に決めておくと、判断の時間を短くできます。

同社によれば、情報が取得された時点で退会済みの会員は対象に含まれません。退会した人の情報を消していれば、漏えいの範囲はその分だけ小さくなります。自社のサービスでも、退会者や長く使われていない会員のデータをいつ消すかを決め、委託先のシステムで実際に消えているかを確かめます。

同社はパスワードをハッシュ化して保存していたとしています。会員のパスワードは、平文や元に戻せる形で持たず、ソルト付きの遅いハッシュ（bcrypt や Argon2 など）で保存するのが基本です。委託先のサービスを使う場合も、どの方式で保存しているかを確かめておきます。詳しくは パスワードの保存方法（ハッシュとソルト） を参照してください。