レジャー予約サイト「アソビュー！」を運営するアソビューは11月3日、メール配信に使っていた外部サービスが不正アクセスを受け、会員情報1,582万1,184件が外部に流出したと発表した。流出したのはメールアドレスだけでなく、氏名・生年月日・電話番号と、どの施設のチケットをいつ何枚買ったかという利用の記録まで含む。
入口はアララの配信サービス「アララメッセージ」で、11月2日には北陸電力が同じ経路で会員のメールアドレス約55万件の流出を公表していた。今回は件数も中身もそれより大きい。どの会員が対象かはまだ特定されておらず、アソビューはすべての会員に注意を呼びかけている。
預けていたのは、メールを送るための名簿
アソビューによると、同社は会員へのメール配信にアララ株式会社のアララメッセージを使っており、そこに会員情報の一部を預けていた。流出の範囲は、アララからの報告にもとづく次のとおりだ。
- メールアドレス
- 会員ID・会員番号、氏名、性別、生年月日、会員登録日、最終ログイン日など
- 電話番号、郵便番号、住んでいる地域
- チケットの購入日時・種類・枚数、利用施設名・利用日時・参加人数・キャンセルの有無など
パスワードとクレジットカード情報はアララメッセージに預けておらず、流出の対象に含まれない。発表の時点で、流出した情報の悪用による被害は確認されていないという。アソビューは、自社のシステムではなくアララのサービスへの不正アクセスに起因するものだとしている。
経緯も公表されている。アソビューは11月2日、アララから持ち出されたデータに自社の預託分が含まれると報告を受け、同日アララメッセージを使うすべてのメール配信を止め、管理画面のパスワードや API キーを無効にした。件数と項目の報告を受けたのは翌3日で、同じ日に公表した。
約7,700万件のうちの、名前が分かった一社
アララが11月2日に出した第2報によると、10月28日から31日にかけて第三者が同社のサーバーを経由して契約企業の環境(サーバー97台・最大約380社)に侵入し、メールアドレス約7,700万件と会員情報を持ち出した。アララは、個人が複数のアドレスを持つ場合もあり、この件数は利用者の人数を示すものではないとしている。持ち出された項目は契約企業ごとに違う。
これまで LifeMakers では、鹿児島のスマホ決済「Payどん」の記事 と、北陸電力「ほくリンク」の記事 を出している。北陸電力は流出をメールアドレスに限られると説明していた。アソビューの件は、同じ入口から氏名や生年月日、行動の記録まで出たことが、利用企業の側の発表で確かめられた例になる。最大約380社のうち、名前が出ている企業はまだ一部だ。
本物の予約に合わせた偽の連絡
いつ、どの施設に、何人で出かけたか。この組み合わせがあると、実際の予約に合わせた「キャンセル料の返金」「チケットの再発行」といった連絡を作れてしまう。自分の記憶と合っている分、疑いにくい。アソビュー自身も、同社を名乗って返金・キャンセル・当選・本人確認などを理由に個人情報や支払いを求める連絡に注意するよう書いている。
アソビューが示している対処は次のとおりだ。
- 同社がメール・SMS・電話でパスワードやクレジットカード情報の入力や伝達を求めることはない
- 心当たりのないメールや SMS は、本文の URL を開かず削除する。不審な電話には応じない
- 不審なメールや SMS のリンク先でカード情報などを入力してしまったら、すぐにカード発行会社へ連絡する
難しいのは、本物の知らせも同じ時期に届くことだ。アソビューは、アララから対象者の情報を受け取ったあとメールアドレスと会員を照合し、対象の会員に個別に連絡するとしている。その連絡と偽物が並んで届きうる。確かめるときはメールのリンクから入らず、ブラウザでアソビューのサイトを自分で開き、お知らせ欄に同じ内容があるかを見比べるのが確実だ。
手間も残る。メールアドレスや電話番号は変えられても、生年月日と過去の利用の記録は変えられない。アドレスを変えれば迷惑な連絡は減らせるが、ほかのサービスの登録も一つずつ直すことになる。多くの人にとって現実的なのは、アドレスを変えるより「届いた連絡のリンクは使わない」という習慣を家族で揃えることだろう。
問い合わせは、予約者向けの専用窓口(0120-30-3521・10時〜19時、平日・土日祝)が受け付けている。次に確かめたいのは、アソビューの同じお知らせページの更新と、アララが予告している第3報だ。アソビューは新しい事実が分かれば同じページを更新するとしており、対象会員への個別の連絡が始まる時期もそこで分かる。
ことば
- アララメッセージ — アララ(ペイクラウドホールディングスの子会社)が企業向けに提供するメール配信サービス。会員向けのお知らせを送る裏側で使われるため、受け取る側からは名前が見えにくい。10月31日から提供をすべて止めている。
- 預託 — 企業が業務を任せる先に、顧客の情報を預けること。今回のアソビューは、メールを送るのに必要な範囲としてアララに会員情報を預けていた。アソビューは今後、預ける範囲を必要最小限にするとしている。
家族で出かけた先の名前を添えた「返金のお知らせ」が届いたら、あなたはどこを開いて確かめるだろうか？
