H&Mはサイバー攻撃の主張を調査。EC・CRMの情報管理は、どこまで見えているか

H&Mはオンライン上の攻撃に関する主張を調査し、現時点でデータ環境への侵害の兆候は確認していないと回答。未確認の被害を断定せず、顧客情報を預かる企業の管理課題を考える。

FACTS / 確認されたのは、会社が主張を調査していること

10月12日のTheIndustry.fashionは、英タイムズが伝えたH&M Groupの広報回答を紹介し、オンライン上の潜在的なサイバーセキュリティ事案の主張を同社が調査していると報じた。同社は、その時点でデータ環境が侵害された兆候は見つかっていないと説明し、調査中のため追加の詳細は示していない。

さらにスウェーデンのEFNが掲載した10月12日更新のNyhetsbyrån Direktの記事では、H&Mの広報部門は現時点で侵入の兆候はないと回答し、同社IT部門の調査でもデータ侵害の兆候は見つかっていないと説明している。これは報道機関が取得した会社回答に基づく情報であり、攻撃者の主張を会社が認めたという意味ではない。本記事は10月13日の確認時点で参照できた10月12日の回答を基礎としている。

攻撃の成功、情報漏えいの有無、対象となる顧客の人数、被害額、侵入方法は、今回の確認資料では確定できない。報道に登場する犯罪集団名についても、H&Mへの侵害主体として確認された事実とは区別する。他社の事件や、犯罪集団が過去に用いた方法を、そのまま今回のH&Mの事案へ当てはめることはできない。

FACTS / 一般的な対策には、認証と人の判断の両方がある

米国のサイバーセキュリティ・インフラストラクチャー庁CISAは、一般的な企業向け対策として、フィッシングに強い多要素認証の導入や、巧妙なソーシャルエンジニアリングへの教育を推奨している。これはH&Mの実装状況や侵入経路を示す資料ではなく、情報管理を考えるための一般的な指針である。

BUSINESS VIEW / 顧客情報は、EC本体の外にもある

ここからはFASHION SHIFTの考察だ。ファッション企業が守るべき顧客情報は、商品を注文するECサイトだけに集まるとは限らない。会員管理、メール配信、アプリ通知、接客履歴、問い合わせ対応など、購買の前後で複数のサービスや担当者が情報に触れる。外部サービスへ連携した後も、自社の顧客との関係は続いている。

そのため、「ECは正常に動いている」という確認だけで、情報管理全体を判断するのは難しい。どの情報が、どこに保存され、誰が閲覧や書き出しをできるのか。会社の外へ渡した情報を含めて把握する必要がある。これは今回のH&Mに不足があるという指摘ではなく、同様の主張が出た時に自社で答えられるかという問いである。

BUSINESS VIEW / 権限を、役割と期間に結び付ける

施策を早く回すために、担当者や委託先へ広い権限を与えることはある。ただ、その権限が退職、異動、契約終了後も残るなら、便利さと引き換えに接点が増え続ける。閲覧、配信、データ出力、設定変更を分け、担当する業務に必要な範囲へ絞る考え方が重要になる。

認証の強化とともに、権限変更や大量のデータ出力が記録され、必要な時に確認できるかも点検したい。問い合わせ窓口でパスワード変更を依頼された際には、電話口の説明だけを信用せず、あらかじめ定めた経路で本人確認をする。技術設定と業務手順の両方が、情報を守る土台になる。

BUSINESS VIEW / 対応の責任者を、事件の前に決める

攻撃を受けたという主張が出た時、最初に必要なのは、断定を急ぐことではなく、確認できた事実と不明な点を整理することだ。ログを確認する担当、外部サービスへの照会先、経営への報告経路、顧客への説明を判断する責任者を決めておきたい。技術部門だけでなく、EC、CRM、法務、広報が同じ状況を共有できる準備が求められる。

顧客への説明も、「何も起きていない」と「調査中でまだ分からない」を混同してはいけない。確認した範囲、調査が続く項目、次に情報を更新する条件を明確にすることが、信頼を守る対応につながる。

BUSINESS VIEW / 情報管理も、顧客体験への投資である

ECやCRMは、購入履歴を使って適切な商品を案内し、継続的な関係をつくる仕組みだ。その価値は、預かった情報を適切に扱うことが前提になる。販促の効果と情報管理を別々の部門の問題として切り離さず、新しいサービスを導入する段階から、保存する情報、利用目的、権限、契約終了時の処理を確認したい。

今回のH&Mについて、未確認の被害を大きく語る必要はない。経営側が受け取るべき問いは、自社で同じ主張が出た時、顧客情報の所在と管理責任を説明できるかである。売る仕組みを広げるほど、その裏側を見渡す仕組みも育てていく必要がある。

SOURCES / 出典・元記事URL

AI生成イメージ。紹介企業の実際の店舗・商品・社員、技術や過去の記録写真ではありません。