交通系ICカード「nimoca」の利用履歴照会サービスが第三者の不正アクセスを受け、521件の情報が漏れた。運営する株式会社ニモカが10月6日に公表した。漏れたのは、カード番号、生年月日、照会サービスに登録したメールアドレスの3つだ。
件数は、このところ相次ぐ漏えいのなかでは小さい。この件で目を引くのは届き方のほうで、最初の手がかりは利用者からの「身に覚えのないメールが届いた」という問い合わせだった。そのメールは、nimoca 側のサービスが自動で送ったものだったという。本物の差出人から届くメールが、異変の知らせになることがある。手元のカードと受信箱で何を確かめればいいかを整理する。
10月4日の0時から17時40分まで
同社の告知によると、不正アクセスがあったのは10月4日 (日) の0時ごろから、サービスを止めた17時40分までだ。同じ日の9時ごろ、コールセンターに冒頭の問い合わせが入り、調査が始まった。
調べてみると、照会サービスに登録されたメールアドレス宛てに、登録情報の一部を含むメールが送られていた。同社は、このメールは利用者の所定の入力に応じてサービスから自動で送られるもので、不正に情報を取得した第三者が送ったものではない、と説明している。どういう入力があったのか、なぜ第三者の手に情報が渡ったのかは、告知には書かれていない。原因の調査は続いている。
nimoca のほかのシステムやデータベースへの不正アクセスは確認されていない。漏れた情報が不特定多数に公開されたり、不正に使われたりした事実も、現時点では確認されていないという。
漏れたのはカード裏面の17桁と生年月日
漏えいした情報と、確認されていない情報は次のとおりだ。
- 漏えいした: nimoca のカード番号 (裏面に書かれた NR で始まる17桁の英数字)、生年月日、照会サービスに登録したメールアドレス
- 漏えいが確認されていない: 氏名、住所、電話番号、性別、利用履歴
照会サービスは、新規登録も履歴の照会も含めてすべて止まっている。カードそのものは、これまでどおり使える。改札やお店でのタッチを控える必要はない。
対象になりうるのは、この照会サービスにカードを登録していた人だ。カードを持っているだけで登録していなければ、照会サービスにメールアドレスは残っていない。自分が登録したかどうか覚えていなければ、受信箱で nimoca からのメールを検索すると手がかりになる。
差出人が本物でも、リンクは開かない
今回の件が厄介なのは、異変の知らせが「本物のメール」の形で届いたことだ。差出人が正規のサービスでも、自分で操作した覚えのない通知なら、誰かが自分の登録情報を使って何かを入力した跡かもしれない。
同社のお願いは一つで、身に覚えのない不審なメールが届いたら、書かれた URL を開かずにコールセンターへ知らせてほしい、というものだ。窓口は nimoca コールセンター (050-3616-2155、8時から20時、年中無休)。
ここで限界も書いておく。カード番号と生年月日は、パスワードのように自分で変えられない。カードの番号を変えるべきか、そのまま使ってよいかについて、同社は今回の告知で何も言っていない。気になる人は、自分で判断する前に窓口で聞くのが確実だ。逆に、パスワードの変更を急かすメールや、カード番号の再入力を求めるメールが届いても、それは今回の告知が求めている手続きではない。
次に確かめる場所
次に見るのは、ニモカの公式サイトのお知らせ欄だ。同社は、原因と影響の調査を続け、新たに知らせるべきことが分かれば速やかに公表するとしている。照会サービスが再開するときに、どんな対策を足したのかがそこで分かるはずだ。
ことば
- 利用履歴照会サービス — 交通系ICカードで乗った区間や使った金額を、ウェブで確かめられるようにするサービス。カード番号とメールアドレスを結びつけて登録するため、カードを持っているだけの人とは預けている情報が違う。
- フィッシング — 実在する企業やサービスを装ったメールやSMSで偽のサイトへ誘い、カード番号やパスワードを入力させる手口。本物の通知と同じ時期に届くと、見分けがいっそう難しくなる。
あなたの財布に入っている交通系ICカード、その裏面の番号を、どこかのサービスに登録した覚えはあるだろうか？
