レジャー予約サイト「アソビュー！」の会員情報約1,582万件（15,821,184件）が、外部に流出しました。アソビュー株式会社が11月3日に発表したもので、メール配信を任せていたアララ株式会社の「アララメッセージ」が不正アクセスを受けたことが原因です。
流出したのは、メールアドレスや氏名、電話番号のほか、どの施設をいつ使ったかといったチケットの購入・利用情報です。パスワードとクレジットカード情報は含まれていません。どの会員の情報かはまだ特定されておらず、対象の人には特定できしだい個別に連絡が来ます。
パスワードとクレジットカード情報は、流出した情報に含まれていないと発表されています。それまでの間は、「アソビュー！」を名乗るメールやSMSのリンクを開かず、予約やお知らせはアプリか、自分でブックマークした公式サイトで確かめてください。
11月5日12時29分（日本時間）時点の、アソビューの発表（11月3日）と、アララの発表（11月4日21時（日本時間）更新）にもとづく内容です。
何が起きたのか
アソビューは、会員へのメール配信に、アララのメール配信サービス「アララメッセージ」を使っていました。このサービスが第三者による不正アクセスを受け、アソビューが預けていた会員情報の一部が持ち出されました。
アソビューは、自社のシステムではなく、アララのサービスへの不正アクセスが原因だとしています。自社のシステムへの不正アクセスがなかったかも調べています。
アララの第2報（11月2日）によると、第三者は10月28日から31日にかけて、サービスの多くのサーバーに入り込み、データベースの中身を持ち出しました。持ち出されたメールアドレスは、アソビュー以外の会社の分も含めて約7,700万件（精査中）です。アララの件の全体と、ほかに発表した会社はアララへの不正アクセスの記事にあります。
アソビューの対応
| 日付 | アソビューの対応 |
|---|---|
| 11月2日 | アララから、持ち出されたデータにアソビューが預けていた情報が含まれると報告を受ける。アララメッセージを使うすべてのメール配信を止め、管理画面のパスワードやAPIキーなどの認証情報を無効にする |
| 11月3日 | アララから流出の件数と項目の報告を受け、お知らせを公表。個人情報保護委員会と日本情報経済社会推進協会（JIPDEC）へ速報する予定とした |
| 今後 | アララから対象者の情報を受け取り、メールアドレスと会員を照らし合わせて、対象の会員に個別に連絡する |
漏れた情報
| 項目 | アソビューの発表 |
|---|---|
| 対象 | アソビューがアララメッセージでメールを送ったアソビュー！会員 |
| 件数 | 15,821,184件 |
| 会員情報 | 会員ID・会員番号、氏名、性別、生年月日、会員登録日、最終ログイン日など |
| 連絡先 | メールアドレス、電話番号、郵便番号、住んでいる地域 |
| チケットの購入・利用情報 | 購入日時、チケットの種類、購入枚数、利用施設名、利用日時、参加人数、キャンセルの有無など |
| 含まれないもの | パスワード、クレジットカード情報（アララメッセージに預けていない） |
発表の時点では、流出した情報が悪用された被害は確認されていません。
利用施設名や利用日時も含まれているため、実際に出かけた施設の名前や、自分の氏名が書かれた連絡が届くことも考えられます。名前や施設名が合っていても、それだけで本物とは限りません。
自分が対象かどうか
11月5日12時29分（日本時間）の時点で、流出したメールアドレスがどの会員のものかは、まだ特定されていません。アララが対象者を調べていて、アソビューはその情報を受け取って照らし合わせたうえで、対象の会員に個別に連絡するとしています。
連絡が来ていなくても、対象ではないとは限りません。アソビュー！で予約したことがある人は、対象かもしれないと考えて、下の気のつけかたを見てください。
不審なメール・SMS・電話への気のつけかた
アソビューの呼びかけは次のとおりです。
- アソビューが、メール・SMS・電話などで、パスワードやクレジットカード情報の入力や伝達を求めることはない
- 心当たりのないメールやSMSは、本文のURLを開かずに削除する。不審な電話には応じない
- 「アソビュー！」を名乗り、返金・キャンセル・当選・本人確認などを理由に、個人情報や支払いを求める連絡に注意する
本物の連絡か迷ったとき
メールやSMSのリンクからは開かず、ふだん使っているアソビュー！のアプリや、自分でブックマークした公式サイトから予約やお知らせを確かめると、偽のページに入力してしまうことを防げます。
リンクを押して何か入れてしまったとき
- クレジットカード情報を入れた：すぐにカード会社に連絡する
- IDやパスワードを入れた：そのサービスのパスワードをすぐ変える。同じパスワードをほかのサービスでも使っていれば、そちらも変える
アララも、アララや契約企業を名乗るメール・SMS・電話・郵便物に気をつけるよう呼びかけています。10月28日から30日にかけては、アララのサービスが不正に使われ、クレジットカード会社を装った件名「利用内容確認のご依頼」「ご利用明細確認のご依頼」などのメールが最大約713万通送られました。届いていたら、本文のURLを開かずに削除してください。
問い合わせ先
アソビューは、お客さま（予約者）向けの専用窓口を設けています。電話番号と受付時間は、アソビューのお知らせの「6. お問い合わせ窓口」にあります。新しくわかったことは、同じページを更新して知らせるとしています。
アソビュー！で施設の予約やチケット販売をしている自治体も、自分のサイトで知らせています。例えば日立市は、かみね動物園などの市の施設の利用者にかかわる件数はわからないとしたうえで、施設は通常どおり営業しているとしています。
よくある質問
アソビュー！のパスワードは変えたほうがいいですか？
アソビューは、パスワードをアララメッセージに預けておらず、流出の対象に含まれないとしています。発表では、パスワードの変更は求めていません。ただし、不審なメールやSMSのリンク先でパスワードを入れてしまったときは、すぐに変えてください。
クレジットカードを止める必要はありますか？
クレジットカード情報はアララメッセージに預けておらず、流出の対象に含まれないとされています。不審なメールやSMSのリンク先でカード情報を入れてしまったときは、すぐにカード会社に連絡してください。
アララの件とは何が違うのですか？
アララのサービスを使っていた会社は多く、第2報では、契約企業の環境だけで最大約380社（推計、精査中）とされています。アソビューは、そのサービスを使っていた会社の1つです。アララの約7,700万件は、ほかの会社の分も含めたメールアドレスの件数で、アソビューの15,821,184件は、アソビュー！会員の情報の件数です。
コメント