レジャー予約サイト「アソビュー！」を運営するアソビューは11月3日、メール配信を委託していたアララ株式会社のサービス「アララメッセージ」への不正アクセスにより、会員情報約1582万件が外部に流出したと発表した。流出件数は15,821,184件。メールアドレスや氏名、生年月日、電話番号などが含まれる一方、パスワードとクレジットカード情報は委託先に預けておらず、流出の対象には含まれないとしている。対象会員の特定はまだできておらず、現時点で悪用による被害は確認されていないという。
何が起きたのか——時系列で見る流出の経緯
経緯を整理すると、まずアララの親会社であるペイクラウドホールディングスが10月29日、10月28日に確認した不正アクセスでメールアドレス約301万件が外部に持ち出されたと公表した。アララは10月31日にサービスの提供をすべて停止した。アソビューは11月2日にアララから、持ち出されたデータに自社の預託分が含まれるとの報告を受け、メール配信を停止してサービスの認証情報を無効化した。そして11月3日、アララから流出件数と項目について報告を受け、同日に流出の事実と内容を公表した。
アソビューは「本件は弊社のシステムではなく、アララ社が提供するサービスへの不正アクセスに起因する」と説明している。つまり、攻撃の対象となったのはアソビュー自身のシステムではなく、メール配信を任せていた外部のサービスだったということだ。ただし、預けた情報が流出した責任は、委託元としても問われることになる。
流出した情報と、流出していない情報
アソビューの発表によると、流出した情報は、アソビュー！のメール配信先の情報で、メールアドレス、会員ID・会員番号、氏名、性別、生年月日、会員登録日、最終ログイン日、電話番号、郵便番号、お住まいの地域、チケットの購入・利用情報などだ。報道によると、購入したチケットの種類や枚数、参加人数なども含まれる。
一方、パスワードとクレジットカード情報は、アララメッセージに預託しておらず、今回の流出には含まれないとしている。これは利用者にとって重要な区切りだ。ただし、メールアドレスと氏名、生年月日、電話番号などが組み合わさると、なりすましメールや不審な連絡に悪用されるおそれがある。アソビューも、アソビュー！を装った不審メールや、返金・キャンセル・当選・本人確認などを理由に個人情報や支払いを求める連絡への注意を呼びかけている。
対象者はまだ特定できていない——利用者が今すべきこと
現時点で最も注意が必要なのは、流出したメールアドレスが「どの会員のものか」の特定に至っていない点だ。アソビューによると、件数15,821,184件は重複を除いた会員人数を示すものではなく、対象会員の特定はアララが調査中で、アソビューは情報を受け取って精査したうえで、対象の会員に個別に連絡するという。
利用者が今すぐできる対策としては、まずアソビューを名乗る不審なメールやSMSに注意し、リンクを安易に開かないこと、個人情報や支払い情報を求められても応じないことが挙げられる。パスワードの使い回しをしている場合は、別のサービスと同じパスワードを使っていないか見直すことも大切だ。アソビューからの正式な連絡は、公式サイトや公式アプリの案内を確認するのが確実だ。
なお、アララをめぐっては、3日に大阪市が市の行政オンラインシステムに登録した利用者の氏名やメールアドレスが漏洩した可能性があると発表するなど、影響はアソビュー以外にも広がっていると報じられている。アララの第2報では、影響が最大約380社の契約企業に及ぶと説明されていたという。
まとめ
アソビューの会員情報約1582万件が、委託先「アララメッセージ」への不正アクセスで流出した。パスワードとクレジットカード情報は対象外だが、メールアドレスや氏名、生年月日、電話番号、利用履歴などが含まれ、対象者の特定はまだ進んでいない。現時点で悪用被害は確認されていないが、不審メールへの警戒が必要だ。アソビューとアララの今後の調査と、対象者への個別連絡が注目される。
関連記事
- ノジマオンラインで約700万件の個人情報漏えい——氏名・住所・パスワード流出、クレカ情報はなし 利用者が今すぐすべき対策
- サントリーで不正アクセス、個人情報漏えいの可能性——漏えいした情報、サイバー攻撃の影響範囲、利用者が今すぐ取るべき対策を解説
出典：アソビューの発表、日本経済新聞、産経新聞の報道をもとに編集部が解説。出典リンク：日本経済新聞、産経新聞（Yahoo!ニュース）
