JALから上記のように大量の個人情報が漏れた可能性が高いという報告がありました。その後の発表でJAL社員の一般に利用するパソコンがマルウェア（コンピュータウイルス）に感染し、顧客（JALでのJMB会員）データベースにアクセスすることにより、その情報を外部に漏えいさせたようです。なぜ、マルウェアに感染したのか、それが標的型攻撃によるものなのか、あるいは内部規定に違反して、マルウェアを持ち込むような操作を行ったのか、はたまた社員が故意に情報漏えいを行ったのか、調査を現在行っているところでしょう。しかし重要なのは、この情報漏えいが単なる情報漏えいでないところです。

ほんの半年ほど前に、このJMB会員への不正ログインが起こり、会員のマイレージが奪い取られるという事件が起きました。必ずしも大量の不正ログインがあったわけではなく、数十件程度であった考えられています。

JALではこの対処法として、マイレージが換金されない処置を一時的に取り、さらに根本的に不正ログインを防ぐ手段を講じている最中でした。マイルを得点と交換する際に生年月日で改めて認証することも行っていたのです。

しかし今回の情報漏えいが単なる情報漏えいでない理由は、この不正ログインを助長する情報漏えいだからです。JALから漏れた情報は以下の通りです。

もちろん、住所、氏名、勤務先、さらにメールアドレスが漏れている事は重大な問題ですが、それ以上に、個々の会員がログインする際に必要な会員番号と生年月日が漏えいしていることが問題なのです。まず不正ログインを防ぐ壁になっていたのは、会員番号と暗証番号なのです。会員番号は９桁の数字、暗証番号は６桁の数字であり、この双方が秘匿される事によってパスワードとしての働きがあり、不正なログインを防いでいたのです。半年以上前の不正ログインも、原因が特定されているわけではありませんが、搭乗券等に書かれた会員番号が会員の不注意で漏えいし、それに暗証番号が推測されることによって不正ログインが行われたと推定されます。今回、この９桁の会員番号が漏えいする事によって、不正ログインに対して秘匿されるべき情報のほとんどが漏れる事になり、不正ログインが極めて容易になっているのです。

JALが改めて推奨するように暗証番号を無意味な６桁にすることは必須としても、それでもパスワードとしての効果は期待できませんから、不正アクセスが起こりえるという前提で利用すべきかも知れません。