北陸電力は11月2日、会員サービス「ほくリンク」の会員のメールアドレス約55万件が外部に流出したと発表した。会員向けメールの配信を任せている外部の運営会社が使うメール配信サービスに不正アクセスがあり、そこから持ち出された。流出したのはメールアドレスに限られ、ほかの情報の流出は確認されていないという。
電気の使用量や料金を確かめるために登録したアドレスが、第三者の手に渡ったことになる。電力会社を名乗る偽メールが届きやすくなるこれからの時期に、何を手がかりに本物と見分けるかを整理しておきたい。
55万件は、380社分の一部だった
北陸電力の発表によると、同社は11月2日、メール配信を委託している運営会社から次の連絡を受けた。10月28日から31日にかけて、配信に使っているサービスへの不正アクセスがあった。これにより最大約380社分、約7,700万件の個人情報が外部に流出し、その中に「ほくリンク」会員のメールアドレス約55万件が含まれていた。配信サービスの提供会社は、各サーバーの通信を遮断し、サービスの提供をすべて止めている。
北陸電力の発表は、配信サービスの名前を挙げていない。一方、同じ11月2日には、ペイクラウドホールディングス（東証グロース）が、子会社のアララが運営するメール配信サービス「アララメッセージ」への不正アクセスについて第2報を出した。そこに書かれた侵入の期間（10月28日〜31日）、対象の社数（最大約380社）、持ち出されたメールアドレスの件数（約7,700万件）は、北陸電力が伝えられた数字と重なる。
ペイクラウド側は、約7,700万件は重複を含みうる件数で、利用者の人数を示すものではないとしている。持ち出された情報はメールアドレスに加え、契約企業ごとに氏名や住所、電話番号などが含まれる場合があるという。「ほくリンク」については、北陸電力がメールアドレスに限られると説明している。
偽メールは、すでに送られていた
ペイクラウドの第2報には、もう一つ見過ごせない記述がある。10月28日から30日にかけて、アララメッセージの一部の環境が不正に使われ、クレジットカード会社を装った不審なメールが最大約713万通送られていた。送信元は「news@arara.com」、件名は「利用内容確認のご依頼」「ご利用明細確認のご依頼」などだ。
この不審メールの宛先は、攻撃者が外から持ち込んだアドレスだとされ、今回流出したアドレスと同じとは限らない。ただ、配信の仕組みそのものが偽メールの発射台に使われたことは示している。ペイクラウドは、こうしたメールの URL を開かずに削除し、リンク先でカード情報などを入力してしまった場合はすぐにカード発行会社へ連絡するよう求めている。
北陸電力を名乗るメールが届いたら
北陸電力は、対象の会員に「ほくリンクアプリ」などを通じて事案の概要を知らせるとしている。あわせて、今後届く不審なメールに十分注意するよう呼びかけている。
本物の知らせと偽物は、同じ時期に似た件名で届きうる。料金の確認、ポイントの失効、アカウントの再登録といった用件は、電力会社を装うときの口実になりやすい。メールの中のリンクから入らず、自分でアプリを開くか、ブラウザに公式サイトのアドレスを打ち込んで、お知らせ欄に同じ内容があるかを見比べるのが確かめ方になる。
手間はある。流出したアドレスを変えれば偽メールは減らせるが、電気以外のサービスにも同じアドレスを登録していれば、変更は一つずつの作業になる。アドレスを変えずに「メールのリンクは使わない」という習慣のほうを変えるのが、多くの人にとって現実的な線だろう。
もう一つ。アララは、すべての契約企業に個別に連絡するとしている。最大約380社のうちどこが対象かは、まだ公表されていない。北陸電力のほかにも、利用しているサービスから「お詫び」のメールが届く可能性がある。10月末には、鹿児島のスマホ決済アプリ「Payどん」が、同じアララへの不正アクセスで影響を受けたと発表していた（本サイトの記事）。
侵入の経路や開始時期は、まだ調査中だ。北陸電力も「ほくリンク」以外の情報流出がないか調べており、現時点では確認されていないとしている。確かめられる次の一点は、ほくリンクアプリのお知らせ欄に届く個別の連絡と、ペイクラウドホールディングスが予告している第3報だ。精査中の件数と業績への影響は、第3報で知らせるとしている。
ことば
- アララメッセージ — アララ（ペイクラウドホールディングスの子会社）が企業向けに提供するメール配信サービス。会員へのお知らせやメルマガを送る裏側で使われるため、受け取る側からは名前が見えにくい。10月31日からすべて止まっている。
- メール配信の委託 — 企業が会員向けメールの送信を外部の会社に任せること。今回は北陸電力、運営会社、配信サービスの提供会社と三段になっており、侵入された場所は北陸電力の外にあった。
電気の会社から「確認のお願い」が届いたとき、あなたはどこを開いて確かめるだろうか？
