アソビュー、会員情報1582万件が流出。メール委託先アララへの不正アクセスで

レジャー施設の予約サービスを運営するアソビューで、会員情報1582万件が外部に流出した。ITmedia NEWSが報じた。見出しによると、アソビューがメールの配信業務を委託していたアララが不正アクセスを受けたことが原因で、流出した情報には会員の最終ログイン日や利用した施設といった項目も含まれているという。

今回確認できたのは見出しとURLの範囲である。氏名やメールアドレス、電話番号、決済情報が含まれるかどうか、不正アクセスが起きた時期や発覚の経緯、二次被害の有無、会員への通知や対応策は、材料からは分からない。

技術的な観点では、メール配信の委託先には、配信のために会員の連絡先などのデータが渡されることが多い。今回は、配信に必要な範囲を超えるとみられる最終ログイン日や利用施設の情報まで流出したとされており、委託先にどこまでのデータを渡していたのかが問われることになりそうだ。利用施設の履歴は、個人の行動や趣味を推測できる情報でもあり、なりすましのメールなどに悪用されるおそれがある。

意味合いとしては、自社のシステムが無事でも、委託先が攻撃を受ければ大量の顧客情報が流出しうることを改めて示した事例といえる。業務の外部委託が当たり前になるなかで、委託先に渡すデータを最小限にとどめることや、委託先の安全管理を確認する仕組みの重要性が増している。