日本サッカー協会（JFA）は10月18日、協会の公式アプリ「JFA Passport」が第三者による不正アクセスを受けたと発表した。不正アクセスは17日午前3時25分ごろから午後7時ごろまで続いた。協会はアプリのサービス提供会社と連携して被害の拡大を防ぐ対策をとり、その影響でアプリの機能の一部が一時的に使えなくなっている。個人情報を含む利用者情報に影響が出たかどうかは調査中で、協会は新たに公表すべき事実が分かれば速やかに知らせるとしている。

17日未明から夜まで、約15時間半にわたり不正アクセス

協会の発表によると、不正アクセスがあったのは10月17日の午前3時25分ごろから午後7時ごろまでで、約15時間半にわたる。協会は不正アクセスを検出した後、アプリのサービス提供会社と連携して、不正アクセスの経路を遮断するなどの対策を講じた。

アプリの一部サービスが使えなくなっているのは、この被害拡大防止の対策に伴うものだという。どの機能が止まっているのか、いつ復旧するのかについて、発表は具体的に示していない。協会は、調査と復旧の状況を公式サイト「JFA.jp」で知らせるとしている。

発表は、不正アクセスの手口や、侵入した第三者が誰なのかについても触れていない。協会は「本アプリをご利用いただいている皆様に多大なるご心配をおかけしておりますことを深くお詫び申し上げます」と謝罪した。

利用者情報への影響は「調査中」　ログアウトや再インストールは控えるよう要請

最も気になる個人情報への影響について、協会は「現在、影響範囲等について調査を進めており、詳細は確認中」と説明している。発表の時点では、情報が外部に持ち出されたかどうか、対象が何人分にのぼるのかは明らかになっていない。

協会は、公式サイトなどで利用者に注意を呼びかけるとともに、情報漏えいが確認された場合は「関係法令等を踏まえ適切に対応」するとしている。今後もアプリのサービス提供会社とともに、被害の有無の調査を続ける。

被害の広がりについては、現時点の調査で、協会が使っているほかのシステムへの影響は確認されていないという。

協会は、アプリの利用者に対して具体的な注意点も示した。安定したサービス提供に向けた確認作業をしているため、当面の間、アプリからのログアウト、再ログイン、再インストールといった操作は控えてほしいとしている。

不具合が起きたとき、アプリをいったん削除して入れ直したり、ログインし直したりするのはよくある対処法だ。だが今回は、協会がそうした操作を控えるよう明確に求めている。アプリの動作がおかしいと感じても、協会の続報を待つ必要がある。

「JFA Passport」とは　会員証や動画、イベント申し込みの窓口

JFA Passportは、協会が「選手・指導者・審判・ファン・サポーターなどすべてのサッカーファミリーのためのアプリ」と位置づける公式アプリだ。協会の紹介ページによると、利用者は「JFA ID」を取得してログインすると、アプリ上で会員証が発行される。登録したプロフィール情報をもとに、その人に合ったお知らせやコンテンツが届く仕組みだ。

アプリでできることは幅広い。サッカー日本代表の限定動画や、全国のサッカー、フットサル、ビーチサッカーの試合のフルマッチ動画・ハイライト動画を見られるほか、全国各地のイベントやフェスティバルに参加を申し込める。サッカーを始めたい未就学児向けに、課題をクリアするとスターターキットがもらえるプログラムも用意されている。会員限定のクーポンやキャンペーンもある。

プロフィールの登録やイベントの申し込みを受け付けるアプリであるため、利用者の側から見れば、どの情報がどこまで影響を受けたのかが焦点になる。協会の調査結果が待たれる。

漏えいが確認されたら　国への報告の仕組み

個人情報が漏れた場合の対応は、個人情報保護法で定められている。個人情報保護委員会によると、民間の事業者は、一定の要件にあたる個人データの漏えいやそのおそれがあった場合、委員会への報告が義務づけられている。漏えい報告の件数の推移は個人情報の漏えい報告、3年で4万8315件　勧告6件・命令1件、社名公表はトヨタ・ドコモなど一部で、被害を受けた組織向けの国の相談窓口はIPA、不正アクセス被害の企業向けに特別相談窓口　初動対応を電話で助言、専門業者も紹介で詳しく扱っている。

その要件の一つが、「不正の目的をもって行われたおそれがある」行為による漏えいだ。委員会は具体例として、個人データを保管しているサーバーなどが外部から不正アクセスを受け、データが盗まれた場合を挙げている。この「不正の目的」の主体には、従業員だけでなく外部の第三者も含まれる。

報告の期限について委員会は、発覚したらまず速やかに報告するよう求め、不正な目的で行われたおそれがある場合は発覚日から60日以内に報告するよう定めている。また、ランサムウェアなどサイバー攻撃による漏えいは、政府全体で被害報告を一元化する方針に沿って、共通の様式で報告することもできる。

協会が今後、漏えいの有無と範囲をどう公表するかが次の焦点となる。