[ITmedia News] モスやワークマン、IIJmioも アララへの不正アクセスで顧客情報の流出発表相次ぐ

著者 林裕也

[ITmedia]

　メール配信サービスを手掛けるアララへの不正アクセスを巡り、サービスを利用する企業が顧客情報の流出を相次いで発表している。11月4日には「モスバーガー」を運営するモスフードサービスのほか、ワークマンやインターネットイニシアティブ（IIJ）、住友不動産なども公表した。アララは影響を受ける契約企業を最大約380社と推計している。

モスフードサービスが公表した「モスWEB会員」の流出状況（出典：プレスリリース）

モスは751万件、ワークマンは最大約145万件

　このうちモスフードサービスでは、会員サービス「モスWEB会員」のメールアドレスや年齢、性別、住んでいる都道府県など751万7087件が流出した。クレジットカード情報など決済に関わる情報は含まれていない。メール配信システム「repica」の提供元であるアララから、4日に報告を受けたという。

　ワークマンは、オンラインストアのメールマガジン会員のメールアドレス最大約145万件が流出したとの報告を、アララから受けたと発表した。IIJは格安SIM「IIJmio」契約者のメールアドレス98万3458件、ダスキンは会員サイト「DDuet」の65万7886件の流出をそれぞれ公表。住友不動産も、業務委託先が利用するアララのサービスへの不正アクセスで、分譲住宅について問い合わせた顧客のメールアドレス20万5208件が流出したとしている。

　前日以前にも発表は相次いでおり、3日にはカルディコーヒーファームを運営するキャメル珈琲が、オンラインストアのメールマガジン会員82万420件のメールアドレスが漏えいしたと発表した。成城石井も同日にアララから報告を受けたとして、オンラインショップ「成城石井.com」のメールマガジン会員最大16万8630件が対象になったと公表。2日にはチケットプラスがグループ会社と連名で、一部利用者のメールアドレスが漏えいしたと発表しており、件数は調査中としている。

アソビューやビックカメラなど3社は1000万件超

　件数が100万件を超える流出は、ほかにも複数発表されている。会計事務所や自治体向けのシステムを提供するTKCは最大223万812件、ポイントサイトを運営するちょびリッチは134万8525件の流出を公表。ビックカメラなど3社は約1490万件が流出した可能性があると発表し、アソビューは会員情報1582万1184件の流出を明らかにしている。

当初の「影響なし」から一転

　当初は影響がないと案内していた企業が、後から流出を公表したケースもある。松竹マルチプレックスシアターズは10月29日と30日の時点で、会員サービス「SMT Members」の情報は流出していないと案内していた。しかしその後、アララで別の環境への不正アクセスが新たに判明し、自社の利用環境も対象に含まれるとの報告を11月2日に受けた。同日、会員のメールアドレスが流出したと発表している。対象はSMT Membersに登録されていた会員の情報332万305件。

アララが公表した不正アクセスの影響の概要

　横浜ゴムも当初、アララから横浜ゴムに関連する情報漏えいは確認されていないとの報告を受けていた。しかし3日になって漏えいしたとの連絡があり、ニュースリリースなどの配信サービスに登録している人の会社名とメールアドレスが流出したと同日発表した。サブウェイも10月29日の第1報では顧客情報は対象外と案内していたが、11月2日の第2報で、含まれている可能性を排除できないと説明を改めた。アララに再調査を求めており、詳細な調査結果は判明次第公表するとしている。

　アララの発表でも、不正アクセスを確認した範囲は広がっている。10月29日の第1報では、共用のサーバ環境からメールアドレス約301万件が流出したと公表していた。11月2日の第2報では、攻撃者がこのサービスを経由して契約企業向けのサーバ97台に侵入していたと説明。約7700万件のメールアドレスが流出した恐れがあるとしている。

　攻撃者はアララのサービスを悪用し、クレジットカード会社を装った不審なメールを最大約713万通送信していた。アララは10月31日からサービスを全面停止しており、再開時期は未定。