Signal
📡 Signal｜アララ侵害、アソビュー1,582万件とビックカメラG約1,490万件
アララのメール配信への侵入で、アソビューが会員情報1,582万件の流出を公表。ビックカメラG 3社も約1,490万件の可能性。施設名や利用日時まで渡っていた。
遊びや体験の予約サイト「アソビュー！」を運営するアソビューは11月3日、メール配信に使っていたアララの「アララメッセージ」が不正アクセスを受け、会員の情報1,582万1,184件が外部に流出したと公表した。前日の11月2日には、ビックカメラ・コジマ・ソフマップの3社が連名で、メールマガジン登録者のメールアドレスなど、グループ合計約1,490万件が流出した可能性があると発表している。
アララは11月2日の第2報で、影響を受けた契約企業を最大約380社、メールアドレスを約7,700万件と推計した (第2報を伝えた記事)。2つの公表の件数を単純に足すと約3,070万件で、推計の4割近くになる。数え方は各社で違うので厳密な比率ではないが、数百社に散らばった被害の大きな塊が、名前の通った2つの会員基盤だったことは分かる。
アソビューは、行った場所と日時まで
アソビューの公表によると、流出した情報はメールアドレスにとどまらない。
- 会員情報: 会員ID・会員番号、氏名、性別、生年月日、会員登録日、最終ログイン日など
- 連絡先: 電話番号、郵便番号、住んでいる地域
- チケットの購入・利用情報: 購入日時、チケットの種類、枚数、利用した施設の名前、利用日時、参加人数、キャンセルの有無など
パスワードとクレジットカードの情報はアララのサービスに預けておらず、対象に含まれない。悪用の被害は、公表の時点で確認されていない。
経緯は短い。11月2日にアララから報告を受け、同日中にこのサービスを使うメール配信をすべて止め、管理画面のパスワードや API キーなどの認証情報を無効にした。件数と項目の報告を受けたのは翌3日で、同日に公表した。ただし、流出したメールアドレスがどの会員のものかは、まだ特定できていない。アララが対象者を調べており、情報を受け取ってから照合し、個別に連絡するという。
アソビューは自社の再発防止策として、委託先に預ける情報の範囲を必要最小限にすると書いた。メールを送るためのサービスに、会員がどの施設にいつ何人で行ったかまで渡っていたことを、自ら認めた形になる。
ビックカメラグループは約1,490万件、内訳は未公表
ビックカメラ・コジマ・ソフマップの連名の文書は、対象を「お客様のメールアドレス 等」、件数を「グループ合計約1,490万件」とだけ書き、会社ごとの内訳は示していない。クレジットカードの情報と、各社の通販サイトのログイン情報は、アララのサービスでは扱っておらず対象外だ。
3社は流出の可能性を把握した後、サービスへのデータ連携を止め、アララと影響の範囲を確かめている。対象の顧客には各社から案内するとし、11月2日の時点で二次被害は確認されていない。3社やアララを名乗る不審なメールへの注意を呼びかけた。
同じ配信基盤、違う厚さの名簿
アララの第2報は、持ち出された項目が契約企業ごとに違うと断っていた。今回の2つの公表は、その違いの幅を示している。ビックカメラグループはメールアドレスを中心に書き、アソビューは氏名・電話番号・購入履歴まで並べた。
差を生んだのは、配信サービスの側ではなく、各社が何を預けたかだ。メールの出し分けに会員の属性や履歴を使うほど、配信サービスに置く名簿は厚くなる。そして厚い名簿ほど、流出した後の使い道が広い。施設の名前と利用日が付いたメールアドレスは、「ご利用の施設についてのお知らせ」を装った宛名入りのなりすましに、そのまま使える。アソビューが返金・キャンセル・当選・本人確認を理由にした連絡に注意を促したのは、この使われ方を想定したものだ。
委託先の管理は、自社のシステムとの接続や認証の強さで点検されやすい。今回の2社の公表が問うのは、委託先に何を渡しているかという、もう一段手前の問いである。
次に見るもの
確認先は3つある。まず、アララとペイクラウドホールディングス (証券コード 4015) が業績への影響とあわせて示すとしている第3報で、東証の適時開示に出る。次に、アソビューのお知らせページで、対象の会員が特定できた段階の更新。最後に、ビックカメラグループ各社から顧客への案内で、約1,490万件の会社ごとの内訳と、メールアドレス以外の項目があるかどうかが分かる。
ことば
- アララメッセージ — アララが提供する法人向けのメール配信サービス。企業がメールマガジンや会員向けのお知らせを送るために会員のアドレスや属性を預けるため、多数の企業の顧客名簿が1か所に集まる。
- 個人情報保護委員会への報告 — 個人情報の漏えいが起きた事業者は、国の個人情報保護委員会に速報と確報を出す義務がある。アソビューは11月3日に、同委員会と日本情報経済社会推進協会 (JIPDEC) へ速報を出す予定とした。
🔗 一次ソース