Zara情報漏えい：流出データとShinyHuntersの侵入経路

Zaraの今回のデータ漏えいは、現時点では「Zaraの決済ページが直接破られた」事件というより、旧テクノロジープロバイダーを経由した第三者データ露出と見るのが実態に近いものです。親会社のInditex（インディテックス）は、不正アクセスが自社の中核システムではなく、以前の技術提供会社に関連していたと説明しており、漏えい通知サービスHave I Been Pwnedの分析では影響を受けた人数は約197,400人とされています。

救いは、現時点の報道ではパスワードや決済カード情報はアクセスされていないとされる点です。 ただし、メールアドレスや注文・問い合わせに関する情報は、Zaraを装ったフィッシングメールを本物らしく見せる材料になり得ます。

何が流出したとされるのか

Have I Been PwnedはZaraの事案について、19万人超が影響を受けたと記録しており、複数の報道では197,400件のレコードとされています。 流出したとされる主な項目は次のとおりです。

• メールアドレス。
• 国・地域などのマーケット情報、または位置に関連するデータ。
• 購入・注文情報。報道によっては、注文ID、購入商品、SKUなどが含まれたとされています。
• サポートチケット、つまり問い合わせ履歴に関連するデータ。

この組み合わせが厄介なのは、攻撃者が「実際の注文」「過去の問い合わせ」「利用した国・地域」などを文面に混ぜられるためです。Cloakedは、パスワードやカード番号がなくても、こうした情報がフィッシングやアカウント乗っ取りの試みに使われる可能性があると警告しています。

流出していないとされる情報

Inditexは、パスワードと決済カード情報にはアクセスされていないと説明したと報じられています。 Daily.devの要約では、氏名、電話番号、住所、ログイン認証情報、決済データも侵害されていないとされています。

ただし、この点は「現時点で公表・報道されている範囲」として受け止めるべきです。InditexとZaraは、影響人数の完全な公式集計を含む詳細をまだすべて開示していないとBleepingComputerは報じています。

利用者にとっての実務的な見方は、いま分かっている限りでは「カード情報流出型」の事件ではなさそうだ、ということです。一方で、Zaraの注文、返金、配送トラブル、支払い失敗、サポート対応を装うメールやSMSには注意が必要です。

ShinyHuntersはどうアクセスしたとされるのか

Inditexが確認している説明では、侵入口はZaraの自社インフラではなく、旧テクノロジープロバイダーまたは外部委託先がホストしていたデータベース側にあります。

その後、セキュリティ報道はこの事案を恐喝型サイバー犯罪グループのShinyHuntersと結び付けました。BleepingComputerによると、ShinyHuntersは犯行を主張し、侵害されたAnodotの認証トークンを使ってBigQueryインスタンスから盗んだとされる140GBのアーカイブを流出させたとされています。 他の報道も、分析プロバイダーAnodotを、下流の顧客データへ到達する第三者経路として挙げています。

平たく言えば、「Zaraのレジや決済ページをハッキングした」というより、第三者サービスの認証トークン――クラウド環境へのアクセス権を示す鍵のようなもの――が侵害され、それを使ってGoogle CloudのデータウェアハウスであるBigQuery上のデータへ到達した、という説明です。この構図は、問題の発端がInditex内部ではなく旧プロバイダー側にあったというInditexの説明とも整合します。

まだ確定していない点

公に出ている情報は、正式なフォレンジック報告書ほど完全ではありません。BleepingComputerは、InditexとZaraが影響人数の完全な公式数を含め、事案の詳細をまだ開示していないと指摘しています。

また、ShinyHuntersの具体的な侵入手口は、攻撃者自身の主張と二次的なセキュリティ報道に依存する部分があります。そのため、現時点では「有力な報道上の説明」であって、すべてが公式に確認された技術的結論ではありません。

持ち出されたとされるアーカイブ容量にも揺れがあります。BleepingComputerとDaily.devは140GBとし、Cork Safety AlertsはShinyHuntersがBigQueryクラウドインスタンスから192GBを入手したと主張していると報じました。 個々の利用者にとってより重要なのは、Have I Been Pwnedで示された約197,400件という影響レコード数です。

Zara利用者が今すぐ確認すべきこと

自分のメールアドレスが対象データに含まれている可能性がある場合、Zaraを名乗る連絡には慎重に対応してください。返金、配送遅延、支払いエラー、ポイントや特典、サポートチケットに関するメールやSMSのリンクは直接開かず、Zaraの公式サイトまたは公式アプリから確認するのが安全です。

現時点の報道ではパスワードや決済カード情報はアクセスされていないため、分かっている事実だけから見れば、カードの一斉再発行が最初に必要な対応とは言い切れません。 ただし、Zaraや他の通販サイトで同じパスワードを使い回している場合は変更し、利用できるサービスでは多要素認証を有効にしておくべきです。

Zaraだけの問題ではない理由

今回の事案は、小売企業の中核システムが直接侵害されていなくても、分析ツールやクラウドデータ基盤との接続を通じて顧客データが露出し得ることを示しています。

企業側にとっては、旧委託先のアクセス権の棚卸し、認証トークンのローテーション、クラウドデータウェアハウスの権限最小化、大量エクスポートの監視、顧客データセットに到達できる主体の定期監査が改めて重要になります。報じられているトークン経由・BigQuery経由という筋書きは、まさにその弱点を突くものです。

結論として、今回のZara漏えいはパスワードやカード番号の流出よりは範囲が限定的とみられます。それでも、メール、注文、商品、問い合わせ履歴が結び付けば、詐欺には十分使われ得ます。問題は「何が漏れたか」だけでなく、第三者接続を通じて世界的ブランドの顧客データに手が届いてしまったとされる点にあります。