東京メトロの「メトポ」会員向けサービスに不正アクセス。配信停止中のメールアドレス約5万9,000件が取得の可能性

01発表されている事実

1. 9月27日

   公表。約59,000件のメールアドレスが閲覧・取得された可能性

2. 10月15日

   更新。影響範囲は当初と変わらず、配信停止中のアドレスだけが不正取得されたことを確認

東京メトロによると、不正アクセスを受けたのは、メトポ会員が登録しているメールアドレスのうち、メールが届かない（送信不能）ために同社が配信を止めていたアドレスを置いていたサーバーです。このサーバーには、メールアドレス以外の会員情報は入っていなかったとしています。不正にアクセスされた箇所は特定し、防ぐための対策を済ませています。攻撃の手口や原因の詳しい説明は、公表されていません。

02読者への影響

対象は「送信不能で配信を止めていたアドレス」です。携帯会社を変えて使わなくなったアドレスや、受信の設定でメトポのメールを受け取れなくしていたアドレスが含まれている可能性があります。使っていないアドレスなら実害は小さめですが、いまも使っているアドレスが含まれていれば、迷惑メールや偽のメールが届くきっかけになり得ます。

氏名や住所、ポイント、PASMOなどの情報は、このサーバーには入っていなかったとされています。メールアドレスだけでメトポにログインされることもありません。

03今すぐやること

1. 対象の人には、東京メトロから「メトロポイントクラブ事務局」（i.metpo@tokyometro.jp）の名前でメールが届く。迷惑メールの設定でこのアドレスを受け取れるようにしておく
2. 東京メトロは、別の手続きや外部サイトへの移動を頼むことはないとしている。メトポや東京メトロを名乗り、リンク先でログインやカード情報の入力を求めるメールは開かない
3. メトポに登録したメールアドレスを、ほかのサービスのログインIDにも使っているなら、そのサービスのパスワードが使い回しになっていないか確かめる
4. 質問は、専用の問い合わせフォームか電話（0120-162-837、9時〜17時）で

04同じことを防ぐには

今回のように、会社が「届かないから止めていた」アドレスの一覧も、狙われれば漏れます。メール配信を行う会社は、配信を止めたアドレスや古いリストをいつまで残すかを決めておくと、事故の影響を小さくできます。個人の側では、メールのリンクから入らず、公式アプリやブックマークから確かめる習慣が守りになります。図鑑の「メールセキュリティ・訓練」の分類では、偽のメールを止めたり見分けたりする仕組みを比べられます。

05今後の発表

東京メトロは9月27日の時点で、影響範囲と原因の詳細を調べていました。10月15日の更新では影響範囲は変わらないとしており、原因について新しい発表があればお知らせします。