お問い合わせ
話題の事件から政治・経済の真相まで徹底解説
広告
  1. ホーム
  2. 事件・事故
  3. 【11/4】アソビュー情報流出1582万件｜委託先アララメッセージに不正アクセス、対象の確かめ方と今やること

【11/4】アソビュー情報流出1582万件｜委託先アララメッセージに不正アクセス、対象の確かめ方と今やること

事件・事故

レジャー施設やアウトドア体験の予約サイト「アソビュー!」で、会員の情報が大量に流出しました。運営するアソビュー株式会社は11月3日、メール配信を任せていた委託先アララのサービス「アララメッセージ」が不正アクセスを受け、アソビュー!の会員情報1582万1184件が外部に流出したと公表しました。パスワードとクレジットカード情報は流出の対象に含まれていません。

この記事では、アソビューの公式発表と報道で確認できた事実をもとに、何が流出したのか、委託先のアララで何が起きていたのか、自分が対象かどうかの確かめ方、そして会員が今やることを整理します。件数の数え方など、まだはっきりしない点もそのまま書きます。

この記事でわかること

  • 何が起きたか：委託先アララの「アララメッセージ」への不正アクセスで、アソビュー!会員の情報1582万1184件が流出しました。
  • 何が漏れたか：氏名、生年月日、電話番号、メールアドレスのほか、チケットの購入・利用の履歴も含まれます。パスワードとカード情報は対象外です。
  • 今やること：アソビュー!を名乗る返金・キャンセル・当選の連絡に注意し、リンクを開かず公式アプリやサイトで確かめることが基本です。
目次

アソビューの情報流出とは？会員情報1582万1184件が外部へ

アソビュー!のメール配信先として委託先に預けていた会員情報1582万1184件が、委託先への不正アクセスで流出しました。

アソビュー株式会社が11月3日に出した「委託先メール配信サービスへの不正アクセスに関するお詫びとお知らせ」によると、流出したのは、アララのメール配信サービス「アララメッセージ」を通じてメールを受け取っていたアソビュー!会員の情報です。アソビューは、自社のシステムへの侵入を確認したという発表はしていません。FNNプライムオンラインは同日夜に「1500万件超の会員情報流出」と速報しました。

流出した項目と流出していない項目

流出したのは連絡先と会員情報、チケットの購入・利用情報で、パスワードとカード情報は含まれていません。

下の表は、アソビューの発表とTRAICYの報道で確認できる項目をまとめたものです。

区分 項目 流出
連絡先 メールアドレス、電話番号、郵便番号、居住地域 あり
会員情報 会員ID・会員番号、氏名、性別、生年月日、会員登録日、最終ログイン日 あり
チケットの購入・利用情報 購入日時、チケットの種類、購入枚数、利用施設名、利用日時、参加人数、キャンセルの有無 あり
ログイン・決済 パスワード、クレジットカード情報 なし（アララメッセージに預けていない）

11月3日の公表の時点で、流出した情報が悪用された被害は確認されていないとしています。ただ、どの施設をいつ何人で予約したかという履歴まで含まれているのが、今回の特徴です。

1582万1184件は「1582万人」とは限らない

1582万1184件は公表された情報の件数で、対象となる会員の実際の人数は11月4日時点で公表されていません。

アソビューは、流出したメールアドレスがどの会員のものかを、これから委託先と照らし合わせて特定するとしています。件数をどう数えたか（1人を1件としたのか）は発表に書かれていないため、1582万1184件をそのまま「1582万人の被害」と読むことはできません。人数が公表されたら、それに合わせて読み直す必要があります（編集部分析）。

アララメッセージとは？委託先で何が起きたか

アララメッセージは企業向けのメール配信サービスで、Webサーバーの弱点を突かれて利用企業の配信先データが持ち出されました。

アララはペイクラウドホールディングスの子会社で、企業が会員にメールマガジンやお知らせを送るためのサービスを提供しています。NHKは10月29日、アララが不正アクセスを受け、登録されていたメールアドレスのうち約301万件が外部に流出したと報じました。ビジネス+ITによると、アララは10月28日に不正アクセスを確認し、原因はシステムの一部の環境にあったWebサーバーの脆弱性が悪用されたことだと説明しています。

アソビューが公表するまでの流れ

アララの初報は10月29日で、アソビューが自社の会員の情報が含まれると知ったのは11月2日でした。

下の図は、アララとアソビューの発表に出た日付を順に並べたものです。

10月28日　アララが不正アクセスを確認し、サーバーを切り離す
10月28日〜30日　アララのサーバーからカード会社を装った不審メールが送られる
10月29日　アララが初報（メールアドレス約301万件）
10月31日　アララがサービスの提供をすべて停止
11月2日　アララが第2報。アソビューは報告を受け、同日に配信を全停止
11月3日　アソビューが件数と項目の報告を受け、公表

TRAICYによると、アソビューは11月2日、アララメッセージを使ったメール配信をすべて止め、管理画面のパスワードやAPIキーなどの認証情報を無効にしました。個人情報保護委員会と日本情報経済社会推進協会（JIPDEC）にも速報する予定としています。

アララの第2報で流出は約7700万件に広がった

11月2日の第2報で、サーバー97台から約7700万件のメールアドレスが流出したかそのおそれがあるとされました。

日経クロステックによると、ペイクラウドホールディングスの第2報で、影響を受ける契約企業は最大約380社と推計されました。流出した項目は、メールアドレスのほか、氏名、性別、生年月日、電話番号、会員番号、住所です。約7700万件は流出のおそれを含む数字で、重複を除いた利用者の数ではありません。10月29日に約301万件とされた共用の環境の分も、338万6187件に増えています。

10月29日の初報では「メールアドレス以外の流出は確認されていない」とされていました。アソビューの発表で氏名や購入履歴まで含まれていたのは、契約企業ごとのサーバーで登録されていた項目が、初報の後に分かったためだと読めます（編集部分析）。

カード会社を装った不審メールが最大713万通

アララのサーバーが悪用され、10月28日から30日にかけてカード会社を装うメールが最大約713万通送られました。

日本経済新聞は、攻撃者がシステムの管理画面に不正にログインし、データを盗み出したとみられると報じました。アララは決済の情報を持っておらず、漏れていないとしています。アソビューは、この不審メールの宛先にアソビュー由来の情報が使われたとは発表していません。

なぜ予約サイトの購入履歴まで委託先から漏れたのか

アソビューが、メールの宛先だけでなく会員の属性や予約の履歴まで配信の委託先に預けていたためです。

流出した項目は、アソビューがアララメッセージに預けていた情報そのものです。購入・利用の履歴まで預けていた目的は、11月4日時点で公表されていません。確かなのは、預け先が攻撃を受けたことで、アソビュー自身のシステムへの侵入が確認されていなくても、会員の情報が外へ出たということです。メールの宛先以外の情報を委託先にどこまで渡すかが、被害の大きさを左右したといえます（編集部分析）。10月以降、通販や配送、ソフト販売の会社でも、委託先や取引先を経由した流出の発表が続いています（編集部分析）。当サイトではダークウェブで日本人の個人情報が急増している報道とGMOの会見や、ノジマの会員情報約700万件の流出もまとめています。

利用者の側から委託先を選ぶことはできません。だからこそ、一度登録したサービスの情報は「どこかで漏れるかもしれない」前提で、詐欺の入り口を塞いでおくことが大切です。

自分が流出の対象か確かめる方法は？

11月4日時点では対象者はまだ特定中で、アソビューが特定した会員に個別に連絡するとしています。

アソビューは、アララから流出したデータを受け取ったうえで会員の情報と照らし合わせ、対象者に個別に知らせる方針です。今の段階では、自分が対象かどうかを個別に判定してもらう仕組みは示されていません。そのため、まずは続報と個別の連絡を待つのが基本です。

  1. アソビューの公式サイトの「NEWS」に出るお知らせの続報を見る
  2. アソビュー!に登録したメールアドレスの受信箱（迷惑メールの箱も）を見る
  3. 不審な連絡が届いたなど心配なときは、アソビューの専用窓口（0120-30-3521、10時〜19時）に、自分で電話する

窓口の番号は、届いたメールやSMSに書かれたものではなく、アソビューの公式のお知らせに載っているものを使ってください。レジャー施設のチケットを施設のサイトから買った場合も、購入の画面や確認メールで、アソビューを使った購入だったかを確かめておくと、続報を読むときに判断しやすくなります。

アソビュー会員が今やることは？不審メールとSMSに注意

予約内容を装った返金・キャンセル・当選の連絡のリンクを開かず、公式のアプリかサイトで確かめるのがいちばんの守りです。

流出したのは、氏名や電話番号に加えて「いつ、どの施設を、何人で予約したか」という情報です。実際に行った施設の名前を出されると、本物の連絡だと思い込みやすくなります。アソビューは、メールやSMS、電話でパスワードやクレジットカード情報の入力や連絡を求めることはないとしています。下の図は、やることを優先度の高い順に並べたものです。

1. リンクを開かない
返金・キャンセル・当選・本人確認を理由にした連絡は、メール内のURLや電話番号を使わない
2. 公式で確かめる
予約や返金の状況は、いつも使うアソビュー!のアプリかサイトに自分で入って見る
3. パスワードを見直す
アソビュー!と同じメールアドレス・パスワードを他で使っていれば、別々のものに変える
4. 明細を見る
カードと銀行の明細に覚えのない引き落としがないか確かめる

パスワードは今回の流出に含まれていませんが、メールアドレスと氏名が分かれば、使い回しのパスワードを試す攻撃の材料になります。個人情報保護委員会は漏えい等の対応とお役立ち資料で相談先をまとめ、フィッシング対策協議会は実際に出回っている偽メールの例を知らせています。

家族の予約でも気をつけたい点

予約に参加人数や利用日時が含まれるため、家族や同行者を話題にした連絡にも注意が必要です。

「お子さまの体験の日程が変わりました」「同行者の分の返金があります」のように、予約の中身に合わせた文面が届くおそれがあります。家族で一つのアカウントを使っている場合は、メールを受け取る人だけでなく家族にも、リンクを開かずに公式で確かめることを伝えておくと安心です（編集部分析）。

アソビューの情報流出のよくある質問

本文で触れていない、退会・補償・施設側の情報について、11月4日時点で分かっている範囲をまとめます。

Q. 今すぐ退会すれば、流出した情報は消えますか？

A. すでに外へ出た情報は、退会しても取り戻せません。退会しても今回流出した分の被害は防げないので、どちらを選ぶ場合も、不審な連絡への注意は続けてください。

Q. お詫びの金券や補償はありますか？

A. 11月3日のお知らせの時点で、お見舞いの金券や補償は発表されていません。「補償金を受け取るために手続きを」という連絡が来ても、まず詐欺を疑ってください。

Q. アソビューの予約サービスは今も使えますか？

A. 止めたのはアララメッセージを使ったメール配信で、予約サービスそのものを止めたとは発表されていません。どの種類の通知メールに影響があるかは発表されていないので、予約の状況はアプリやサイトで直接確かめると確実です。

流出した人数や、アララ側の調べの結果は、まだ続報が出る見込みです。新しい発表が出たら、この記事の内容とあわせて確かめてください。

参考情報

事件・事故
よかったらシェアしてね！
  • URLをコピーしました！
  • URLをコピーしました！
目次