トレジャー・ファクトリー（トレファク）の不正アクセス（メールアドレス74万6,277件）：出張買取・トレファク引越の利用者がやること

同社によれば、不正アクセスを受けたのは「出張買取」と「トレファク引越」の申込受付や関連業務に使う案件管理システムです。店舗で預かっているお客様情報と、同社アプリで管理しているお客様情報は別のシステムで管理しており、今回の対象には含まれないとしています。

店舗に持ち込んで売っただけ、アプリを使っているだけ、という人は、同社の発表の範囲では対象外です。出張買取やトレファク引越をウェブなどから申し込んだことがある人は、自分のメールアドレスが含まれている可能性があるものとして、以下を進めてください。

取得されたメールアドレスについて、同社は「フィッシングメールその他の不正な連絡に利用される可能性も考えられます」としています。出張買取や引越を申し込んだ人には、査定や見積もり、訪問日の調整、サービス再開の案内といった連絡が届いても不自然ではありません。そのため、そうした内容の偽メールに気づきにくくなります。

内容を確かめたいときは、メールのリンクではなく、自分で開いた公式サイトやアプリを使ってください（見分け方は フィッシングとは）。

同社は、取得されたお客様情報にカード番号などの決済に関する情報は含まれていないとしています。この事件を理由に、カード情報の再登録や「本人確認」を利用者に求める記載は発表にありません。そうした依頼のメールが来ても応じないでください。

不審なサイトでパスワードやカード情報を入力しないことは、同社自身も呼びかけています。

同社は、不審な電話を受けた場合は、相手が名乗った組織の公式な連絡先を自分で確かめて問い合わせるよう案内しています。電話で伝えられた番号に折り返さず、公式サイトに載っている連絡先を使ってください。

同社は、対象となるお客様に、本件の内容と注意事項を個別に案内する予定としています。専用の問い合わせ窓口は設置の準備中です。

案内の方法（メールか、郵送かなど）は10月24日時点で公表されていません。案内らしきメールが届いても、本文のリンクから手続きをせず、公式サイトのお知らせと照らし合わせてください。

今回の対象は、申込受付や関連業務に使う案件管理システムでした。同社は再発防止として、外部に公開しているシステムの脆弱性管理・脆弱性診断、WAF（Webアプリケーションへの攻撃を遮る仕組み）などによる防御を挙げています。

自社でも、申込フォームの裏で動く案件管理・顧客管理のシステムのうち、インターネットから届くものを一覧にし、担当者と更新の手順を決めておきます。外から使う必要のない管理画面は、接続元を絞るのが最初の1つです。

同社は、店舗で預かっているお客様情報とアプリで管理しているお客様情報は別のシステムで管理しているため対象外だとしています。「店舗・アプリの情報は対象外」と説明できることが、問い合わせや不安を大きく減らします。

業務ごとに顧客データを1か所に集めすぎない設計は、侵入を防げなかった場合に被害の範囲を決める要素になります。

取得されたお客様のメールアドレスは74万件を超えます。一般に、申込や見積もりのために預かった連絡先は、取引が終わった後に何年残すかを決め、期限を過ぎたら削除するか連絡先を消して集計用の数字だけを残すと、万一のときの影響を小さくできます（この件で同社の保管期間がどうだったかは公表されていません）。

同社は、アクセスログの調査によって、不正アクセスが行われた当日に取得を確認し、10時30分には外部からのアクセスを止めたとしています。ログが残っていて読めることが、範囲の特定と早い停止の前提になります。保存先と、誰がどの時点で見るかを決めておきます。自社のドメインを名乗る偽メールを減らす設定は なりすましメールとSPF・DKIM・DMARC を参照してください。