新生銀行と新生ファイナンシャルは9月27日、複数の業務委託先にカードローンサービスの顧客情報を誤って一部提供していたと発表した。
中には顧客のメールアドレスが約8000件含まれる他、カードの暗証番号など口座情報一式を提供していた事例も37件あった。27日時点では、業務委託先からさらに流出した形跡はなく、不正利用も確認されていないとしている。

誤って提供したメールアドレスは、メール配信停止ページで手続きをした「新生銀行カードローンエル」会員の6293件と「レイク ALSA」会員の2108件。
これとは別に、レイク ALSAのWeb契約手続きページで入力を受けた口座情報一式（金融機関名、支店名、預金種別、口座番号、口座名義人、カード暗証番号、メールアドレス）37件と、カード暗証番号とメールアドレスのセット54件を外部に提供していた。
レイク ALSA会員のカードローンのカード番号とカード暗証番号、生年月日を提供していた事例も2件あった。

Web解析や広告媒体事業に関してデータを提供する際に、これらの情報が誤って含まれてしまったとしている。
現状では委託先からの流出はないものの、仮に二次流出があればメールアドレスには標的型攻撃メールなどが送られる可能性がある他、暗証番号を含む口座情報からは不正出金が行われる可能性もあるという。

メールアドレスのみの流出原因は、メール配信停止ページのURLにユーザーのメールアドレスが付与される仕様になっており、委託先から見える仕様だったため。
レイク ALSA会員の口座情報は、本来は契約手続きページのURLのみを委託先に提供するべきところ、ユーザーが送信ボタンを押さずにエンターキーなどから送信を実行した場合に入力情報が提供される仕様だった。

カード番号と暗証番号などのセット2件のみの事例については、原因が特定できていないとしている。

新生銀行グループでは、傘下のアプラスでも業務委託先に同社Webサービス会員のIDやパスワード47万5813人分を誤って提供していたことが9月3日に判明していた。
これを受けて、調査を行ったところ、今回の事態が発覚したという。

新生銀行は事態が発覚した時点で対象の業務委託先へのデータ提供を停止しており、対象の顧客には、今後別途連絡をするという。

ITmedia
https://www.itmedia.co.jp/news/articles/2109/28/news155.html