鹿児島銀行・南日本銀行・鹿児島相互信用金庫・鹿児島信用金庫の4行庫は10月28日、スマホ決済アプリ「Payどん」のメール通知システムが第三者の不正アクセスを受け、利用者の個人情報の一部が漏えいした可能性があると連名で発表した。対象は Payどんの利用者と加盟店のメールアドレス、そして決済の日時・店舗名・支払い金額だ。
いつ、どの店で、いくら払ったか。メールで届いていた買い物の記録の一部が、外に出たかもしれないという知らせになる。
入口は、メール送信を任せていた会社
発表によると、4行庫は10月28日、Payどんのメール送信を委託しているアララ株式会社 (東京都港区) で不正アクセスが起きていることを確認した。アララは同日17時23分、被害の拡大を防ぎ、漏えいの有無と範囲を調べるために、Payどんのメール通知機能と新規登録を止めた。
止まっているメールは、決済と送金の完了メール、電子マネーや交通系マネーのチャージに関するメール、地域振興券の購入完了メールなどで、メールアドレスの変更もできなくなっている。調査の結果、メールで送った個人情報の一部が外部に漏えいした可能性が分かったという。
件数は発表に書かれていない。現時点で二次被害の報告はないとしている。
アララ側の発表では、約301万件
アララは翌29日、自社のメール配信サービス「アララメッセージ」への不正アクセスを公表した。配信サービスのサーバーのうち1つのシステムが不正アクセスを受け、このシステムを使う企業が持つメールアドレス約301万件が外部に持ち出されたことを確認したという。原因は、Webサーバーの脆弱性を第三者に悪用されたことだ。該当のサーバーはすぐにネットワークから切り離した。
約301万件は、そのシステムを使う企業の分を合わせた数で、うち Payどんの分が何件かは、どちらの発表にも書かれていない。アララは利用企業の名前も公表していない。Payどんを使っていない人でも、同じシステムで送られる別の会社のメールを受け取っていれば、対象に入っている可能性は残る。
「本物らしい」偽メールに備える
漏えいしたかもしれないのは、メールアドレスと、いつどの店でいくら払ったかの組み合わせだ。これが手元にあれば、実際の買い物の日付や店名に合わせた「お支払いの確認」メールを書けてしまう。自分の記憶と合っている分、疑いにくい。
4行庫が求めているのは、4行庫を名乗る不審なメールに注意し、記載された URL や添付ファイルを開かないことだ。アララも、心当たりのないメールには返信せず、添付を開かず、ID やパスワードを入力せずに削除するよう呼びかけている。
手がかりになるのは、いま Payどんのメール通知そのものが止まっていることだ。発表の時点では、決済や送金の完了メールは Payどんから送られていない。この間に Payどんや4行庫を名乗り、決済や送金の確認を求めるメールが届いたら、それだけで立ち止まる理由になる。確かめるなら、メールのリンクではなく、自分で開いたアプリの中で見るほうが確実だ。
不便も残る。通知メールで決済やチャージの記録を残してきた人は、再開までその記録が届かない。新規登録も止まっているので、これから使い始めるつもりだった人はしばらく登録できない。再開の時期は示されていない。
問い合わせは、Payどん利用者向けのデジタルサポートプラザ (0120-947-230・平日9時〜17時、土日祝日と12月31日〜1月3日を除く) が受け付けている。次に確かめたいのは、鹿児島銀行のサイトの「重要なお知らせ」に出る続報だ。4行庫は新しい事実が分かれば公表するとしており、Payどんの対象件数と、メール通知の再開時期がそこで分かる。
ことば
- メール配信の委託 — 企業が通知メールやお知らせの送信を、専門の会社のシステムに任せること。宛先のアドレスや送る文面はそのシステムに置かれるため、委託先が攻撃を受けると、複数の企業の利用者に影響が広がりうる。
- 二次被害 — 漏えいした情報を使った詐欺メールや不正な請求など、漏えいのあとに起きる被害。今回の発表では、現時点で報告はないとされている。
「お支払いの確認」をうたうメールが届いたら、あなたはそれをどこで確かめるだろうか？
