ペイクラウドホールディングス（東証グロース：4015）は、連結子会社のアララが運営するメール配信サービス「アララメッセージ」への不正アクセスについて、被害規模に関する公表内容を大幅に拡充した。11月2日付の第2報によると、直近の侵入で外部に持ち出されたメールアドレスは精査中の暫定値で約7700万件に上り、10月29日に報告した約301万件から大きく増えた。
第1報からの変更点
第1報の対象は共用環境の1システムだったが、第2報では契約企業側の環境も加わり、サーバー97台でメールアドレスと会員情報の持ち出しが確認された。アララは対象となる契約企業数を最大約380社と推計しており、引き続き精査している。
流出したデータはメールアドレスにとどまらない。氏名、性別、生年月日、電話番号、会員番号、住所など、契約企業が同サービスに登録していた項目も含まれ、内容は契約企業によって異なる。なお、同社のサービスではクレジットカード番号は保有していないとしている。
ペイクラウドは、1人が複数のアドレスを保有している可能性があるため、7700万件という数字は最終ユーザー数を示すものではないと注意を促している。また、件数は今後変動する可能性があるという。
合算せず3区分で集計
報告書は今回の事案を3つの区分に分けている。同サービス自体を経由した不正アクセスは10月28日から31日にかけて発生し、約7700万件という数字はこれに当たる。10月27日から28日にアクセスされた第1報の共用環境では、契約企業61社が対象となり、流出したメールアドレスは重複を除き338万6187件と、当初の約301万件から精査された。このうち5社では、氏名や会社名を含む顧客データも最大41万1827件流出した。
| 区分 | 期間 | 対象範囲 | 件数 |
|---|---|---|---|
| 本サービス経由の不正アクセス | 10月28〜31日 | 契約企業のサーバー97台、最大約380社 | メールアドレス約7700万件 |
| 共用環境（第1報） | 10月27〜28日 | 契約企業61社 | メールアドレス3,386,187件 |
| 不審メールの送信 | 10月28〜30日 | 2つの環境 | メール最大約713万通 |
ペイクラウドは、複数の区分に同じメールアドレスが含まれている可能性があるため、各区分の件数を合算していない。また、「持ち出された」件数には、記録の読み取り量から判断した「持ち出された恐れのある」ケースも含まれるとしている。
サービス悪用で不審メール送信も
これとは別に、第三者が同サービスの一部を悪用し、10月28日から30日にかけて2つの環境から最大約713万通の不審メールを送信していた。メールはクレジットカード会社を装い、送信元は「[email protected]」、件名は利用内容の確認を依頼するものなどだった。アララは10月28日7時に1つ目の環境へのアクセスを遮断し、10月30日に2つ目の環境の通信も遮断し、同日13時32分以降、新たな送信はなかったとしている。この不正送信自体に伴うメールアドレス以外のデータ流出は確認されていないとしている。
サービスは全面停止、原因も修正
アララは10月31日19時53分に同サービスの全面停止を完了した。再開時期は未定としている。再開は侵入経路の特定、認証情報の全面的な変更、システムの安全性確認などを経て判断し、契約企業には管理画面のパスワードやAPIキーの再設定を求める予定だ。アララの他のサービスに影響はない。
原因の説明も修正した。第1報ではWebサーバーの脆弱性を挙げていたが、第2報ではシステム環境上の問題も関係していたとしている。攻撃元の共通性などから一連の事案は同一の第三者によるものとみているが、侵入の開始時期や経路は引き続き調査している。
ペイクラウドは10月29日に個人情報保護委員会へ報告しており、新たに判明した内容を11月2日に報告する予定とした。また10月29日に警察へ通報し、同日に日本情報経済社会推進協会（JIPDEC）へ速報を提出した。2027年8月期業績への影響は精査中で、結果は第3報で公表するとしている。