サイバー攻撃の脅威とトップリスクマネジメント

　楽天のようなポイントサービス提供企業が被った損害を回復するためには、犯人に対する損害賠償請求が考えられる。ただし、仮に犯人が検挙されたとしても、賠償のための支払い能力には疑問があることが多いようだ。

　損害賠償の請求先として次に考えられるのは、ID・パスワードのリストの流出元である。しかし、その特定も難しい。不正アクセスなどによって個人情報が流出したと公表するサイトは多いが、いつどのサイトから流出したID/パスワード情報が自社のサイトで使われたのかを特定するのはほぼ不可能である。

　不正に入手したIDとパスワードが利用されたとはいえ、それらの情報はそれ自体としては正しい情報である。その入力を受け付けるウェブサイトとしては、その情報を正規の利用者が入力しているのか、不正に入手した者が入力しているのかを判別することは不可能である。

　楽天ができる対抗措置としては、ID・パスワード以外の個人識別情報を採用することが考えられる。ただ、そうした措置を講じるにはインターネットバンキングと同程度の相応の設備が必要となり、販売促進ツールとしての費用対効果に疑問が生じることになる。

　ほかに考えられる対抗措置としては、“原始的”ではあるが、他のサイトで使用しているのとは異なるIDとパスワードを使用してほしいと利用者に注意を促すことや、ポイントの利用があった際にはその都度メールなどで利用者に情報を提供することなどがある。

JINSオンラインショップでのカード情報の窃取事件

　2013年3月に、ジェイアイエヌが運営するメガネの通販サイト「JINSオンラインショップ」に不正アクセスがあり、顧客2059人のクレジットカード情報が漏えいした。カードの不正利用による損害の申告が20件あり、ジェイアイエヌはカード再発行にかかる手数料を負担した（表3）。