企業や自治体のメール配信を請け負うアララ（東京）のサービス「アララメッセージ」が不正アクセスを受けた問題で、同社は11月2日に第2報を公表し、外部に持ち出されたメールアドレスが約7700万件に上ると明らかにした。10月29日の第1報では約301万件としていた。持ち出された恐れのあるものを含み、件数は精査中で、個人の数を示すものではないという。氏名などの会員情報も含まれ、対象の契約企業は最大約380社と推計されている。利用企業の公表も続き、体験予約サイト「アソビュー！」を運営するアソビューは3日、1582万1184件の流出を明らかにした。
第1報から第2報で何が変わったか
メール配信サービスは、企業がメールマガジンや手続きの通知を大量に送るために、宛先の名簿を預けて使う仕組みだ。自社の会員情報を外部の事業者に預ける形になるため、事業者が侵入されると、利用企業の会員の情報がまとめて外へ出る。
アララは第1報で、不正アクセスを受けたのは1システムで、持ち出されたのはメールアドレス約301万件だと説明し、それ以外の不正アクセスの影響は確認されていないとしていた。第2報はこの説明を、範囲・情報の種類・原因のいずれについても改めた。
| 項目 | 第1報（10月29日） | 第2報（11月2日） |
|---|---|---|
| 流出の範囲 | 1システム（共用環境） | 共用環境に加え、契約企業の環境のサーバー97台 |
| 流出した情報 | メールアドレス | メールアドレス、氏名などの会員情報（企業により異なる） |
| 原因 | ウェブサーバーの脆弱性 | 脆弱性に加え、システム環境の問題 |
| サービス | 該当サーバーを切り離し | 10月31日に提供をすべて停止 |
出典: アララ「不正アクセスによる情報流出およびサービス停止について（第２報）」
持ち出された項目は企業ごとに異なり、氏名、性別、生年月日、電話番号、会員番号、住所などが含まれる。配信の宛先の記録も対象だ。アララのサービスはクレジットカード番号を保有していないという。
サービスの再開時期は未定で、侵入経路の特定や認証情報の全面的な変更を終えたうえで判断する。契約企業の担当者の情報が流出したかどうかは確認中としている。
被害は3つの区分、件数は合算できず
第2報は被害を3つの区分に分けて示している。区分の間で同じメールアドレスが重なっている可能性があるため、アララは件数を合算していない。
最も規模が大きいのが、第2報で新たに判明した経路だ。第三者がサーバーに不正にアクセスし、そこを足場に多数のサーバーへ侵入して、データベースの内容を持ち出した。対象はサーバー97台、最大約380社で、メールアドレスは約7700万件に上る。第2報の経緯の表によると、持ち出しは10月29日午前1時36分から30日午前2時22分まで続いた。アララが把握したのは31日午前である。第1報を公表した29日は、この持ち出しの最中だったことになる。
2つ目は、第1報で公表した共用環境だ。第三者が10月27日から28日にかけて管理画面へ不正にログインし、データの出力機能を悪用して情報を持ち出した。件数は重複を除いて338万6187件に改められ、関係する契約企業は61社となった。うち5社が登録していた氏名や会社名を含む顧客データ最大41万1827件も持ち出された。
3つ目は、配信の仕組みそのものを使った不審メールの送信である。10月28日午前3時59分ごろからクレジットカード会社を装うメールが送られ、アララは同日午前7時に該当環境への外部からのアクセスを止めた。ところが別の環境で同日午前8時47分ごろから送信が続いており、把握して通信を遮断したのは30日午後のことだった。送信は2つの環境の合計で最大約713万通に上る。宛先は第三者が外部から持ち込んだアドレスで、この送信に伴うメールアドレス以外の流出は確認されていないという。
アララによると、一連の不正アクセスは攻撃元の共通性などから同じ第三者によるものとみられる。侵入の開始時期と経路は調査中だ。個人情報保護委員会には10月29日に速報を提出し、警察にも同日通報した。件数の精査の結果と業績への影響は第3報で示す。
利用企業が相次ぎ公表、アソビューは購入履歴も
アララは、各社の環境が対象かどうかを契約企業に個別に連絡するとしており、第2報は対象企業の名を挙げていない。このため、流出の規模は各社の公表から確かめることになる。本紙が公式発表で件数を確認できた主な組織は次の通りだ。
| 組織（対象） | 公表した件数 | 情報の範囲 |
|---|---|---|
| アソビュー（アソビュー！会員） | 1582万1184件 | メールアドレス、氏名、電話番号、購入・利用情報など |
| TKC（同社システムの利用者） | 最大223万812件 | メールアドレス（詳細は調査中） |
| サンクゼール（会員） | 87万8343件 | メールアドレス（他の情報は確認中） |
| キャメル珈琲（カルディのオンラインストアのメルマガ会員） | 82万420件（可能性） | メールアドレス |
| ベルク（顧客） | 78万6739件 | メールアドレス。氏名は2352件 |
| 北陸電力（ほくリンク会員） | 約55万件 | メールアドレス |
| ユーコープ（配信先） | 21万495件 | メールアドレス |
| 成城石井（成城石井.comのメルマガ会員） | 最大16万8630件 | メールアドレス |
| 小田急トラベル（会員の一部） | 6万3006件 | メールアドレス |
| 両備バス（メルマガ会員） | 延べ4万3221件 | メールアドレス |
| 沖縄県（島まーるのメルマガ会員） | 2560件（可能性） | メールアドレス |
| 栃木銀行（顧客の一部） | 約1000件 | メールアドレス |
出典: 各組織の公式発表（記事末尾の出典一覧）
各社の数え方はそろっていない。最大値、可能性のある件数、延べ件数が混じっており、足し上げてアララの数字と比べることはできない。北陸電力の発表はアララの社名を挙げていないが、最大約380社分、約7700万件という同じ数字を示している。ユーコープは配信サービスの名称を「repica」と記している。
突出するのがアソビューだ。氏名、性別、生年月日、電話番号、郵便番号、お住まいの地域に加え、購入したチケットの種類、利用した施設名、利用日時、参加人数まで含まれる。メールアドレスだけの流出と違い、どの施設へいつ行ったかという行動の記録が名前と結び付いて外へ出たことになる。パスワードとクレジットカード情報は預けておらず、悪用の被害は確認されていないという。ただ、どの会員が対象かの特定はできておらず、同社はすべての会員に注意を求めている。
「漏えいなし」が覆る、自治体の手続きにも影響
第2報で判明した経路は第1報の環境とは別だったため、いったん対象外と説明された組織が後から対象に変わる例が出ている。
ベルクは10月29日、対象のサーバー環境は使っておらず、顧客の情報は漏えいしていないと説明していた。11月3日にこれを改め、メールアドレス78万6739件と氏名2352件の流出を公表した。TKCも、10月30日に利用環境からの漏えいはないとの報告を受けたと経緯に記していたが、11月2日に最大223万812件が対象に含まれると発表した。
TKCの件は自治体の窓口業務に及ぶ。同社はスマート申請システムやマイナンバーカード交付予約・管理システムなどのメール配信をアララに委託しており、サービス停止で各システムからメールを送れなくなった。姫路市はオンライン手続きポータルサイトで申請完了通知などのメールが届かなくなったと公表し、ひょうご防災ネットのメール配信機能にも影響が出る可能性があるとしている。
大阪市では行政オンラインシステムのメールが10月31日午後5時40分ごろから送れず、利用者登録、メールアドレスの変更、パスワードの再設定ができない。復旧の見込みは未定で、両市とも市に関わる情報が漏えいしたかどうかを確認している。TKCは自社のシステムとデータセンターへの不正アクセスは確認されていないと説明している。
メール配信サービスの不正アクセスについて、本紙は10月にも「防災メール「SpeeCAN RAIDEN」不正アクセス 迷惑メール142万通送信 NET119も漏えいの可能性」を報じた。安全管理をめぐる制度の動きは「個人情報保護委、安全管理の「手法の例示」に多要素認証など追加へ 意見募集を開始」で伝えている。
自分が対象か確かめるには
第2報は、利用者が自分で対象かどうかを調べる手段を示していない。対象の特定は各社が進めており、アソビューはアララから情報を受け取り次第、照合して個別に連絡するとしている。登録しているサービスの公式サイトのお知らせを確かめるのが、いまできる確認の方法である。
アララは、同社や契約企業をかたるメール、SMS、電話、郵便物に注意するよう呼びかけている。10月28日から30日に送信元「news@arara.com」から「利用内容確認のご依頼」「ご利用明細確認のご依頼」などの件名で届いたメールは、本文のURLを開かず削除するよう求めた。リンク先でカード情報を入力した場合は、すぐにカード発行会社へ連絡する必要がある。
アソビューは、流出した情報に氏名、電話番号、利用施設名などが含まれることを挙げ、これらを悪用した同社を装うメール、SMS、電話が届く可能性があると説明している。返金、キャンセル、当選、本人確認などを理由に個人情報や支払いを求める連絡に注意するよう促した。
情報処理推進機構（IPA）は、メールアドレス、電話番号、住所、氏名が漏えいすると、リスト化されて闇サイトなどで販売される可能性があると説明している。今回はパスワードの流出は公表されていないが、IPAはパスワードの使い回しを避け、多要素認証を設定することを日頃の対策に挙げている。
利用者向けの窓口を公表している組織は次の通りである。
- アソビュー（お客様向け専用窓口）: 0120-30-3521（午前10時〜午後7時、平日・土日祝）
- キャメル珈琲（お客様相談室）: 0120-415-023（午前9時〜午後6時、年中無休）
- 成城石井（お客様相談室）: 0120-141-565（平日午前10時〜午後5時）
- 栃木銀行（お客さま専用窓口）: 0120-29-6043（平日午前9時〜午後5時）