パチンコ・パチスロ店の来店予約や入場抽選に使うアプリ「777CON-PASS」を運営するサミーネットワークスは10月16日、不正アクセスによる個人情報の漏えいについて最終報を公表した。漏えいしたユーザー ID は延べ218万8657件で、性別と生年月日がそろって漏えいしたのは178万9998件にのぼる。
10月2日の第一報の段階では、件数も項目も調査中だった。最終報で、何が、何件、どの組み合わせで外に出たかが確定した。自分が対象かどうかの見分け方と、これから届く連絡への構えを整理する。
漏えいした情報と件数
最終報の件数は、ユーザー ID を単位にした延べの数だ。
- ユーザー ID: 218万8657件
- 性別: 179万9085件
- 生年月日: 179万253件
- ニックネーム: 107万7686件
- アイコン画像 (アプリ内で任意に登録したもの): 8万6386件
- 行動エリア (位置情報から作った市区町村単位の情報): 3万6534件
- 電話番号: 6639件
電話番号は、アプリを入れずに店頭予約だけを使った人の分で、電話番号以外の情報は含まないという。組み合わせで見ると、性別・生年月日・アイコン画像がすべてそろうのが8万3079件、性別・生年月日・行動エリアがすべてそろうのが3万3247件ある。
漏えいしていないのは、本人確認用の顔画像、氏名、クレジットカード情報、ログインに使うメールアドレスとパスワードだ。
何が起きたのか
9月25日にユーザーのデータへの不正アクセスがあり、同社は9月30日に不審なアクセスに気づいて調べ始めた。その日のうちに攻撃元からのアクセスを遮断し、不正な要求には情報を返さない仕様に切り替えている。原因は、一部の機能で認証とアクセス制御に不備があったことだった。調査は10月15日に終わり、個人情報保護委員会へも報告したという。
今後は外部の専門機関による脆弱性の診断を受け、すべての機能の認証とアクセス制御を点検するとしている。
届く連絡に、どう構えるか
対象者には、順次メールで個別に連絡が届く。送信元は no-reply@sammy-networks.jp で、送信専用のため返信はできない。同社は、このメールを装った不審なメールにも注意するよう呼びかけている。
気をつけたいのは、氏名やメールアドレスが漏れていなくても、性別と生年月日と住んでいる市区町村がそろえば、相手を信用させる話のきっかけとして十分使えることだ。最終報も、漏えいした電話番号や生年月日を使い、同社やサービスを名乗る電話や SMS が届くおそれがあると書く。同社は電話や SMS でパスワードや認証コードを聞いたり、お金を求めたりすることは一切ないとしている。
できることは限られているが、具体的だ。
- 届いた連絡の送信元が上のアドレスかを確かめる。心当たりのない連絡のリンクから個人情報を入力しない
- 生年月日をパスワードや暗証番号に使っているサービスがあれば、変えておく
- 問い合わせは、アプリ内の「ヘルプ＆サポート」の最下部にあるフォームから行う (平日10時〜18時)
漏えいした情報そのものは取り戻せない。生年月日は変えられないので、この情報を前提にした連絡への警戒は長く続くことになる。
次に確かめたいのは、自分の受信箱に no-reply@sammy-networks.jp からの個別連絡が届くかどうかだ。連絡は順次送られるため、まだ届いていなくても対象外とは限らない。気になる人は、アプリ内のフォームで問い合わせるのが確実だ。
ことば
- アクセス制御 — 誰がどの情報を見たり変えたりできるかを決める仕組み。ここに不備があると、本来見られないはずの他人のデータを外から取り出せてしまう。今回の原因として最終報が挙げた。
- 延べ件数 — 重なりを除かずに数えた件数。実際の人数とは一致しないことがある。最終報の件数はユーザー ID を単位にしている。
生年月日のように変えられない情報が外に出たとき、あなたはどの連絡から疑ってかかるだろうか？
