トヨタモビリティサービス：社用車クラウド「Booking Car」のデータサーバーへ不正アクセス、約2.5万人分が漏えいしたおそれ

1. 2020-10-01

   「Booking Car」のデータ保管サーバー（AWS S3）に、システム開発以前から使われていたアクセスキーでアクセスできる状態になっていた。この状態は2024年2月2日まで続いた。 [1]

2. 2024-02-02

   同アクセスキーによる不正な侵入を確認した。同日中にアクセスキーを変更し、監視を始めた。 [1]

3. 2024-02-16

   公表した。メールアドレスとお客様識別番号を保管するデータサーバーへの不正アクセスと、保管データの削除が行われたことが分かった。個人情報の流出の事実は確認できていないが、完全には否定できないとした。 [1] [2]

対象は、2020年11月以降に「Booking Car」へメールアドレスを登録した企業・自治体の従業員・職員、約2.5万人分。メールアドレスと識別番号のほか、氏名、携帯電話番号、顔写真、車両の画像などの個人情報（17項目）が漏えいした可能性があるとした。クレジットカード情報は保有していない。 [1]

原因は、開発委託先が過去のプロダクト開発に使ったAWS保存領域を流用した際、別プロダクト用のアクセスキーを無効化・消去しなかったこと。 [1]