バスの予約サイト「発車オーライネット」を運営する工房は10月15日、取引先とつなぐための API サーバーが不正アクセスを受け、利用者の予約情報の一部が外に漏れたと公表した。対象は最大で8,341件・5,614人で、バスの利用日が7月16日から11月29日までの予約の一部だという。
漏れたのはカタカナの予約名と電話番号、乗車日や路線、予約番号だ。名前と電話番号に「いつ、どのバスに乗るか」が付いた情報は、それだけで本物らしい連絡を作る材料になる。
9月の不審なアクセス、気づいたのは10月13日
工房のお詫び文によると、不審なアクセスがあったのは9月16日から19日にかけてで、同社がそれに気づいたのは10月13日だった。すぐにサーバーの通信を断ったが、それまでの間に予約情報の一部が外へ持ち出された痕跡が見つかった。不審なアクセスから検知まで、ほぼ4週間が空いている。
件数はまだ最終確認の途中だ。同社は個人情報保護委員会に報告し、警察に被害届を出した。連携しているバス会社と旅行サイトの運営会社にも状況を伝えている。今のところ、この件による具体的な被害の報告は受けていないという。
クレジットカード情報、銀行口座、住所、メールアドレス、パスワードは、狙われたサーバーには置かれていなかった。カードを止めたり、パスワードを変えたりする必要は、この件に限ってはない。気をつけるべきは電話番号のほうだ。
自分の予約が入っているかは、まだ分からない
対象は「利用日が7月16日から11月29日までの一部の予約」で、どの予約が含まれるかの基準は示されていない。対象者に個別の連絡が来るのかどうかも、お詫び文には書かれていない。
もう一つ読み取れないのが、予約の入口だ。狙われた API サーバーは、バス会社などに予約サービスを提供するための連携用だった。発車オーライネットのサイトで直接予約した人だけが対象なのか、バス会社や旅行サイトを通した予約も含まれるのかは、この文面だけでは判断できない。
利用日の範囲には、10月16日より先の便も入っている。これから乗る予定の予約が、すでに外に出ている可能性がある。夏から秋にかけて高速バスや夜行バスを予約した人は、予約確認のメールを見返して、乗車日がこの期間に入っていないかを確かめておきたい。
届きうる SMS と、届いたときの手順
工房は、流出した電話番号に不審な SMS や知らない番号からの電話が来る可能性があるとして、二つを挙げている。同社やバス会社が SMS で暗証番号やクレジットカード情報を尋ねることはない。不審なメッセージにある URL は開かない。
予約番号と路線を知っている相手なら、運休や払い戻し、座席の変更を名目にした連絡を、本物と見分けにくい形で作れる。電話番号は、パスワードのように簡単には変えられない。だから手順を先に決めておくほうが効く。予約した便について連絡が来たら、メッセージのリンクからは入らず、予約したサイトやバス会社の公式ページを自分で開いて、同じ案内が出ているかを確かめる。
この手順にも手間はある。乗車直前の本物の運休連絡を、確かめている間に見落とすかもしれない。乗る日が近い人ほど、バス会社の運行情報のページを先にブックマークしておくと、確かめる時間が短くなる。
次に確かめる点
次に見るのは、10月19日(月)に開く「発車オーライネットお客様相談センター」だ。電話は0120-539-020、受付は9時から18時で、問い合わせフォームも用意されている。自分の予約が対象かどうか、個別の連絡があるのかは、ここで尋ねられる。件数は最終確認中とされているので、確定した数と対象の範囲が工房のサイトで更新されるかも見ておきたい。
ことば
- API サーバー — 別々のシステムがデータをやり取りするための窓口になるサーバー。今回はバス会社などに予約サービスを渡すための連携用で、利用者が画面で見る予約サイトとは別の場所が狙われた。
- スミッシング — SMS (ショートメッセージ) を使ったフィッシング詐欺。宅配や銀行、交通機関を名乗って偽のページに誘い、カード番号や暗証番号を入力させる手口が多い。
予約したバスについて連絡が届いたとき、あなたはリンクを開く前に、どこで本物かどうかを確かめるだろうか？
