ブックオフグループホールディングスは10月13日、会員情報の漏えいについて第2報を出し、対象になる人を6,383,279人と確定させた。このうち212,371人はすでに退会した会員だ。対象者への個別のメールは10月15日 (木) から順次送るという。
10月9日の第1報で示されたのは「最大約643万件」という会員番号の件数で、何人が対象なのかは精査中だった。今回、対象かどうかは「どう登録したか」で決まることがはっきりし、同社は対象者にパスワードの変更も求めた。手元の会員証とアプリを見れば、自分がどちらの側にいるかはおおよそ分かる。
第1報の内容は「ブックオフの会員情報が最大約643万件流出、住所やポイントカード番号も」でまとめた。ここでは第2報で新しく分かったことを中心に見ていく。
643万件から638万人へ
第2報によると、会員情報が外部から取得されたのは10月4日から6日にかけてだった。外部に送られたことをシステムの記録で確認した会員番号は6,427,735件。同じメールアドレスで登録された複数の会員データを1人として数え直すと、6,383,279人になる。内訳は有効会員が6,170,908人、退会会員が212,371人だ。
退会していても対象に入る、という点は見落としやすい。何年も前にアプリを消してアカウントも閉じた人のところにも、登録していたメールアドレス宛てに連絡が届きうる。
発表の時点で、漏れた情報が外部に公開された事実、ポイントが不正に使われた事実、会員情報が書き換えられた事実は確認されていない。店舗やオンラインストア、アプリは通常どおり使えるとしている。
会員カードだけなら対象外
対象になるのは、アプリ会員、オンラインストア会員、Web 会員のいずれかとして登録した人だ。会員カードだけを使い、アプリやウェブで登録していない人は含まれない。
サービスで見ると、線はこう引かれている。
- 対象: BOOKOFF、BOOKOFF SUPER BAZAAR、BOOKOFF PLUS、BOOKOFF 公式オンラインストア、あそビバ、BOOKOFF FASHION、BINGO、B・SPORTS、B・STYLE、Rehello by BOOKOFF (店舗)
- 対象外 (別のシステムで管理): hugall、aidect、Rehello by BOOKOFF (EC サイト)、Japan TCG Center、ブクログ、青山ブックセンター、ブックオフおかたづけサービス
漏れた可能性がある項目は、第1報と同じく氏名、生年月日、性別、メールアドレス、電話番号、会員情報として登録した郵便番号・住所、パスワードのハッシュ値、ポイントカード番号、会員番号だ。ただし同社のよくある質問によれば、すべての会員について、これらすべてが漏れたわけではない。
第2報では、含まれないものも具体的になった。クレジットカードなどの決済情報と銀行口座の情報は、このシステムでは持っていなかった。店頭で買取に出したときに読み取った免許証などの文字情報、宅配買取で出した本人確認書類の画像、注文のたびに別に指定した配送先は、いずれも対象外とされている。
第1報には無かった「パスワードを変えて」
第1報では求められていなかったことが、一つ加わった。対象者は、BOOKOFF 公式オンラインストアとブックオフ公式アプリのパスワードを変えてほしい、と同社は書いている。同じか似たパスワードをほかのサービスでも使っているなら、そちらも別のものに変えるよう求めている。
手間がかかるのは後半だ。ブックオフのパスワードは公式アプリか公式サイトを開けば変えられる。一方で、同じパスワードをどのサービスに使い回したかは、自分の記憶か、パスワード管理の道具の中にしかない。退会した人の場合、変える先はブックオフではなく、使い回した先のほうが中心になる。
もう一つ、10月15日からは本物のメールが届きはじめる。件名は「不正アクセスによる個人情報漏えいに関するお詫びとお知らせ」。同社は、このメールにパスワード変更画面へのリンクを載せることはなく、パスワードやクレジットカード、銀行口座の入力や返信を求めることもないと明記している。名前も住所も正しく書かれた「お知らせ」が届いても、リンクを踏ませようとするなら、それは本物ではないと見てよい。
登録したメールアドレスを変えていて個別メールが届かない人には、今回の公表が個別の連絡の代わりになる。メールが来ないことは、対象外である証拠にならない。
確認できる次の点
次に見るのは、ブックオフグループホールディングスが出している「よくお寄せいただくご質問と回答」だ。10月13日時点の内容で、新しい事実が分かれば更新するとしている。お客様窓口は今のところナビダイヤル (0570-01-2902、10時から18時30分) で、フリーダイヤルは準備中とされ、開設できたらあらためて知らせるという。原因の詳しい手口は、次の攻撃を招くおそれがあるとして公表しない方針だ。
ことば
- 漏えい対象者数 — 同じメールアドレスで登録された複数の会員データを1人として数えた人数。一人がアプリとオンラインストアを別々に登録していると件数は増えるため、第2報では件数と人数を分けて示した。
- 退会会員 — すでに会員をやめた人。退会後も登録情報がシステムに残っていたため、今回は21万人余りが対象に入った。退会した人ほど、パスワードを使い回した先の見直しが中心になる。
ブックオフに登録したときのパスワードを、いまもほかのどのサービスで使っているか、すぐに思い出せるか？
