舞台『刀剣乱舞』の公式通販やファンサイトを運営するアクセルエンターメディアは11月4日、メール配信に使っていたアララの「アララメッセージ」が不正アクセスを受け、客のメールアドレス1,086,098件が流出したと発表した。パスワードとクレジットカード情報は預けておらず対象外だが、ほかの項目は調査中で、どの客のアドレスかもまだ特定できていない。
対象かどうか分からないまま、ファンクラブやチケットを名乗る連絡には先に備えることになる。何が分かっていて、何がまだ分かっていないのかを分けて見ておきたい。
108万件の中身で、分かっていること
発表によると、流出した項目はメールアドレスで、その他は調査中だ。発表の時点で、悪用の被害は確認されていないという。同社は、自社の各サイトや、アーティストと所属事務所が管理するシステムへの不正アクセスではないとしている。
舞台の公式アカウントは6日、「刀ステファンサイト」と公式通販の利用者向けに同じ件を告知した。こちらには、ファンクラブ会員の情報が対象に含まれるかは判明していない、とある。108万件という数字があっても、自分が入っているかは、同社がアララから情報を受け取って照合するまで分からない。対象の客には個別に連絡するとしている。
「対象外」の連絡が、5日後に変わった
同社が公表した経緯は、この種の事案の読み方を教えてくれる。10月28日にアララから連絡を受け、翌29日には同社の利用環境は対象外だと伝えられた。10月31日にアララがサービスを全面停止し、11月3日に流出件数の報告が届く。公表は翌4日で、同じ日にアララと連名で個人情報保護委員会へ報告した。
パ・リーグの球団でも似た流れがあった。パシフィックリーグマーケティングの6日の発表によると、10月28日には漏えいは確認されていないと報告を受けたが、11月に入って流出の報告に変わった。5球団の試合速報メールで計1万3,711件だ。
利用企業の最初の説明は、その時点の調査の範囲を言っている。読む側も「今は対象外らしい」と受け止めて、続報を待つくらいがちょうどいい。
名前の出た会社は、まだ一部
アララは6日の第3報で、持ち出されたメールアドレスを重複を除き81,329,467件とした。件数はアドレスの数で、人数ではない。うち34,285,087件がアドレスのみ、47,044,380件が属性の情報を伴う。第2報にはなかった別のクラウド環境からの持ち出し3,249,492件も加わった。最大約380社という社数は変わっていない。
会社ごとに預けた項目は違う。先に発表したアソビューでは氏名や生年月日、利用の記録まで出た。アクセルエンターメディアの発表は、今のところメールアドレスまでだ。
ファンに届く偽の連絡
同社が具体的に挙げているのは、ファンクラブやアーティストを名乗り、チケット当選、会費の支払い、返金、本人確認を理由に個人情報や支払いを求める連絡だ。同社と各サイトは、メール・SMS・電話でパスワードやカード情報の入力を求めることはないという。
本物のメールが止まっているから見分けられる、とはいかない。舞台の公式アカウントによると、メールマガジンは10月29日の配信分から別のシステムへ切り替えて送っている。本物と偽物が同じ時期に届きうるので、気になる連絡はメールのリンクから開かず、公式サイトのお知らせを自分で開いて見比べるのが確かめ方になる。
ただ手間はかかる。当落や発送の知らせは急いで開きたくなるものだし、ファンクラブを複数持っていれば、確かめる先もその数だけ増える。リンク先でカード情報を入力してしまった場合は、すぐカード発行会社へ連絡するよう同社は求めている。メールアドレスを変える手もあるが、流出した分は戻らず、登録の変更は一つずつの作業になる。
次に開くのは同社の発表ページだ。対象者への個別連絡が始まったかと、調査中の「その他の項目」が埋まったかを、次の更新で確かめたい。
ことば
- アララメッセージ — アララが運営する企業向けのメール配信サービス。企業が顧客のアドレスなどを預けて一斉に送る仕組みで、10月31日から全面停止しており、再開の時期は未定だ。
- 個人情報保護委員会 — 個人情報の扱いを監督する国の機関。今回アララは、預けていた企業が希望すれば連名で報告できるようにしており、アクセルエンターメディアも連名で報告した。
ファンクラブや公式通販の知らせを、あなたはメールの外でも確かめられるようにしているだろうか？
