流出した情報に購入・利用履歴も
レジャー・遊び体験の予約サイト「アソビュー！」で、顧客情報1582万1184件が外部に流出しました。流出情報には、メールアドレスや会員情報のほか、チケットの購入・利用履歴も含まれます。
対象には会員ID・会員番号、氏名、性別、生年月日、会員登録日、最終ログイン日、電話番号、郵便番号、居住地域などがあります。チケットについては、購入日時や種類、購入枚数、利用施設名、利用日時、参加人数、キャンセルの有無が含まれます。
パスワードとクレジットカード情報は委託先のサービスに預けられていなかったため、流出対象に含まれません。現時点で、流出情報の悪用による被害は確認されていません。
メール配信サービスへの侵入が発端
流出はアソビュー自身のシステムではなく、メール配信を委託していたアララ社のサービス「アララメッセージ」への不正アクセスが原因です。アソビューは11月2日にアララ社から流出の報告を受け、翌3日に件数と情報の項目について報告を受けました。
アララ社では、契約企業の環境にあるサーバー97台への侵入が確認され、影響を受けた企業は最大約380社と推計されています。持ち出されたメールアドレスは約7700万件に上り、企業によっては氏名や電話番号、住所、会員番号なども含まれていました。
共用環境からの流出は、当初の約301万件から338万6187件に増えました。また、5社の顧客データから、氏名や会社名など最大41万1827件が流出したことも確認されています。各環境でメールアドレスが重複する可能性があるため、アララ社は件数を合算していません。
配信停止と認証情報の無効化
アソビューは報告を受け、アララメッセージを使ったすべてのメール配信を停止しました。管理画面のパスワードやAPIキーなど、サービスへの接続に使う認証情報も無効化しています。
流出したメールアドレスがどの会員のものかは、まだ特定されていません。アララ社が調査を続けており、アソビューは対象者を特定した後に個別連絡する方針です。
アララ社は不正アクセスの原因として、Webサーバーの脆弱性とシステム環境上の問題を挙げ、侵入経路などを調べています。同社のメール配信サービスは不正利用され、10月28日から30日にかけて、クレジットカード会社を装う不審なメールが最大約713万通送信されました。
委託先の管理体制も見直し
アララ社は10月31日にアララメッセージの提供を全面停止しました。再開時期は未定で、侵入経路の特定やシステムの安全性確認、認証情報の変更を進めています。
アソビューは、外部委託先の選定基準を見直し、委託先に預ける情報を必要最小限にするなど、管理体制を強化する方針です。
アソビューは、同社を装い、返金やキャンセル、本人確認を理由に個人情報や支払いを求める不審なメールやSMS、電話に注意するよう呼びかけています。
