アララメッセージの不正アクセスが話題になった理由
アソビューの会員情報流出の背景として注目されているのが、メール配信サービス「アララメッセージ」への不正アクセスだ。運営するアララ社は10月29日に最初の報告を出し、11月2日に第2報で被害範囲の拡大を明らかにした。トラベルボイスが、アララ側の公表内容を踏まえて伝えている。
一つの配信基盤が破られたことで、利用していた企業の顧客データが同時に狙われた。メールを送るだけの裏方サービスが、多くの会員情報を預かる拠点になっていた点に、関心が集まっている。
アララメッセージは、企業が顧客へ一斉にメールを送るための仕組みで、会員向けのお知らせなどの送信に使われていた。そのため、送信先の名簿が一か所に集まりやすい構造だったといえる。
時系列で見る被害の広がり
報道によると、10月28日から30日にかけて、アララのメール配信が悪用され、クレジットカード会社を装った偽メールが最大約713万通送られた。10月29日の第1報では、共用環境から約301万件のメールアドレスが流出したとされた。
ところが11月2日の第2報で、数字は大きく動く。契約企業ごとの環境にあるサーバー97台にも侵入が及び、影響を受ける企業は最大約380社。メールアドレスは約7700万件が取得され、氏名、生年月日、電話番号などの会員情報も含まれるという。共用環境の件数は約339万件に増え、5社分で最大約41万1827件のデータも持ち出された。
アララは10月31日にアララメッセージの提供を全面的に停止しており、再開時期は決まっていない。
アララは、一連の攻撃が同一の第三者によるものとみているが、攻撃者の正体や目的は報じられていない。
なぜ起きたのか:原因と、アソビューなど利用企業への波及
原因についてアララは、Webサーバーの脆弱性と、システム環境の不備を挙げている。一連の攻撃は、同一の第三者によるものとみられるという。
この影響を受けた一社がアソビューで、11月3日に会員1582万1184件の流出を発表した。委託先で起きた事故でも、顧客から見れば預けた先の企業の問題に映る。発注側が委託先のセキュリティをどこまで確認していたかが、これから問われそうだ。
アソビューがアララから連絡を受けたのは11月2日とされ、第2報の公表日と重なる。利用企業側は、状況の把握と公表の準備を短い時間で迫られたことになる。
利用者が気をつけたいことと今後の焦点
アララを使っていた企業から通知が来た人は、その案内だけを頼りに動くのが基本になる。最も気をつけたいのは、偽メールと、そこから誘導されるフィッシングサイトだ。カード会社や予約サービスを名乗るメールに記載のリンクは押さず、公式アプリや、ブックマークしておいた公式サイトから確認したい。
クレジットカード会社を装った偽メールが最大約713万通も送られた点は、受け取る側にとって実害に近い。差出人の表示は偽装できるため、見慣れた社名でも、メール内のリンクからログインやカード情報の入力をしないことが基本になる。複数のサービスで同じパスワードを使っている場合は、今のうちに別のものへ変えておくと被害を抑えやすい。自分が対象かどうかは、各社からの個別連絡や公式サイトのお知らせで確かめるしかなく、件数が大きいぶん、通知が順次になる点も頭に入れておきたい。
今後は、被害企業の特定と個別連絡がどこまで進むか、そしてアララが調査結果をいつ公表するかが焦点になる。
まとめ
アララメッセージへの不正アクセスは、第1報の約301万件から、第2報で最大約380社・約7700万件のメールアドレスにまで広がった。原因はWebサーバーの脆弱性などとされ、サービスは全面停止中だ。続報が出るまでは、不審な連絡に慎重に対応する必要がある。
コメント