アララのメール配信で約7,700万件流出の恐れ　「利用内容確認のご依頼」の不審メールに注意

メールを受け取る側の個人に関係するのは、アララのサービスから送られた不審メールです。10月28〜30日に、送信元「news@arara.com」から「利用内容確認のご依頼」「ご利用明細確認のご依頼」などの件名のメールを受け取った人は、本文のURLを開かずに削除するよう、アララは求めています。リンク先でカード情報を入力した場合は、すぐにカード発行会社へ連絡してください。

アララメッセージは、企業が顧客や会員にメールを一斉に送るための配信サービスです。アララのほかのサービスには影響がありません。

不審メールは最大約713万通、カード会社を装う内容

アララのサービスが第三者に悪用され、クレジットカード会社を装うメールが10月28日から30日にかけて送られました。最後の送信は10月30日13時32分で、そのあと新しい送信は見つかっていません。

送信先は、第三者が外部から持ち込んだメールアドレスでした。この送信によって、メールアドレスのほかに流出した情報は、いまのところ見つかっていません。

アララや契約企業をかたるメール、SMS（携帯電話のショートメッセージ）、電話、郵便物にも注意が必要です。心当たりのない連絡にあるURLは開かず、IDやパスワード、カード情報は入力しないでください。添付ファイルも開かないようにと、アララは呼びかけています。アララから、パスワードやカード情報の入力を求めるメールを送ることはないとしています。

持ち出されたアドレスは約7,700万件、サーバー97台に拡大

10月29日の第1報では、不正アクセスは「共用環境」と呼ぶ1つのシステムだけでした。11月2日の第2報では、契約企業の環境にあるサーバー97台にも広がっていたことが分かりました。

この97台から持ち出されたメールアドレスは、持ち出された恐れのあるものを含めて約7,700万件です。1人が複数のアドレスを持つ場合があるため、人数ではありません。件数は記録の読み取り量から判断したもので、アララはまだ精査しています。

メールアドレスと一緒に、氏名、性別、生年月日、電話番号、会員番号、住所など、契約企業が登録した項目と、配信の宛先などの記録も持ち出されました。どの項目が含まれるかは、契約企業によって異なります。クレジットカード番号は、アララのサービスでは保有していないとしています。

第1報で「約301万件」としていた共用環境の分は、重複を除いた3,386,187件に改められました。関係する契約企業は61社です。

共用環境では、契約企業5社が登録した氏名や会社名などの顧客データも、最大411,827件持ち出されていました。同じアドレスが区分をまたいで重複している可能性があるため、アララは件数を合算していません。

原因は脆弱性に加えてシステム環境の問題

第1報は、Webサーバーの脆弱性（ソフトの弱点）が悪用されたと説明していました。調査の結果、システム環境の問題も関係していたと分かりました。

共用環境では、第三者が10月27日から28日にかけて管理画面に不正にログインし、データの出力機能などを使って持ち出しました。アララは10月28日16時31分に、この環境を緊急停止しています。

サービスを経由した侵入は10月28日から31日にかけてで、アララは10月31日に把握しました。同じ日に、不正に使われた認証情報の無効化と各サーバーの通信の遮断を行い、19時53分にサービスの停止を終えました。一連の不正アクセスは、攻撃元の共通性などから、同じ第三者によるものとみられています。

アララは、個人情報保護委員会と日本情報経済社会推進協会（JIPDEC）に10月29日に速報を出し、11月2日に続きを報告する予定としています。警察には10月29日に通報しました。