ブシロードは10月27日、スマートフォン向けゲーム『バンドリ！アワーノーツ』の開発を請け負う委託先のシステムが不正アクセスを受け、クローズドβテスト（CBT）に応募した10,194名のメールアドレスなどが漏えいしたと発表した。9月24日から10月14日までにカスタマーサポートへ問い合わせた3,034名については、問い合わせの本文そのものも漏えいの対象に入っている。
テストに応募しただけ、問い合わせを一度送っただけの人も含まれる。送った側の手元には残っていない記録が、運営会社の外にある保管環境に置かれていたことになる。
テスト応募で渡した4つの情報
CBT は6月25日から29日にかけて応募を受け付けた先行テストだ。応募者について漏えいしたのは、応募時に登録したメールアドレス、応募時の IP アドレス、応募日時、端末の種類（iOS か Android か）の4つ。氏名・住所・電話番号・パスワード・クレジットカード情報の漏えいは、現時点で確認されていないという。
ほかに、テストの運営・開発に関わった関係者71名の情報と、テスト後のアンケートで個人情報を書き込んでいた5名分の回答も含まれる。
問い合わせ欄に書いたことは、そのまま残る
人数は応募者より少ないが、中身が重いのはカスタマーサポートの側だ。3,034名分には問い合わせ本文のほか、端末情報2,832件、プレイヤー ID 2,820件、メールアドレス311件、氏名257件、電話番号11件、住所・郵便番号6件が含まれていた。ブシロードは、含まれる項目は問い合わせの内容によって人ごとに違うとしている。
氏名や住所を本文に書いた人の分だけ、それが記録に残っていた、という読み方になる。不具合を早く直してもらおうと詳しく書くほど、窓口に預ける情報は増える。
一方で同社は、プレイヤー ID だけでは第三者がゲームアカウントにログインしたり、乗っ取ったりすることはできないと明記している。
委託先で起きたこと、まだ書かれていないこと
原因について、ブシロードは開発の委託先での管理上の不備により、CBT のデータと問い合わせデータの保管環境に不正アクセスがあったと説明する。不備はすでに是正したといい、関連する環境以外への不正アクセスや二次被害は確認されていないという。委託先の社名や、不正アクセスがいつ起き、いつ気づいたかは、お知らせには書かれていない。
対象者には同社から個別に順次連絡するとしている。そのうえで、同社やゲームを装ったメールや SMS が届く可能性を挙げ、心当たりのないメッセージのリンクや添付ファイルを開かないよう求めた。同社がメールや SMS でパスワードやカード情報、暗証番号を尋ねたり、直接支払いを求めたりすることはないという。
漏えいしたのがメールアドレスと応募日時の組み合わせだという点は覚えておきたい。テストへの応募に触れて書き出す偽のメールは、本当に応募した人ほど疑いにくい。本物の個別連絡と偽物が同じ時期に届きうるのが、この種の漏えいの扱いにくさだ。
自分で引ける線、引けない線
ゲームのテスト応募やサポートへの問い合わせに、普段とは別のメールアドレスを使う人もいる。分けておけば、偽のメールが来たときに出どころの見当がつく。ただし受信箱が増え、本物の連絡を見落とす手間も増える。問い合わせの本文に住所や電話番号を書くかどうかも、自分で決められる。
一方で、預けた記録が委託先のどこに、いつまで保管されるのかを、利用者の側から確かめる方法はない。
次に見ておきたいのは、ブシロード公式サイトのお知らせ欄に出る続報と、対象者に順次届くという個別連絡だ。同社は新たに公表すべき事実が分かれば速やかに知らせるとしており、委託先の名前や発生の時期が示されるかどうかがひとつの目安になる。
ことば
- クローズドβテスト（CBT） — 正式公開の前に、応募者などに限って遊んでもらう試験運用。不具合や負荷を確かめるために行われ、参加の受付でメールアドレスなどを登録する。
- 開発業務委託先 — ゲームの開発や運営の一部を請け負う外部の会社。利用者がやりとりする相手は運営会社でも、データの保管は委託先の環境で行われていることがある。
あなたが最後に問い合わせフォームへ送った文面には、何が書いてあっただろうか？
