オフプライスチェーン「アエナ」のECアプリに不正アクセス。最大81万人のマイページ情報が閲覧された可能性

01発表されている事実

1. 10月13日（火）5時58分

   システムログの解析で、会員マイページが不正に閲覧されていたことが判明

2. 10月14日

   公表。ECサイトへのアクセスを遮断し、対象の会員に順次メールで案内

3. 10月16日

   退会専用ページを開設。再開予定を告知

4. 10月19日（月）正午

   ECアプリのサービスを再開（10月20日に告知）

閲覧された可能性がある情報は、マイページに表示される次の項目です。

• 基本情報：氏名、フリガナ、住所、電話番号、メールアドレス、生年月日、性別、職業
• お届け先情報：登録したお届け先の住所・氏名・電話番号（第三者あてを含む）
• 設定情報：お気に入り店舗、メール配信設定
• クレジットカードの一部：下4桁、有効期限、カード名義

カード番号の全桁とセキュリティコードは持っておらず、流出していません。ログインパスワードの閲覧・流出もなく、会員情報の変更や退会、購入の確定操作も行われていないことを確認したとしています。対象はアプリに個人情報を登録した会員で、LINE会員や、Amazon・楽天などで購入した人は対象外です。

02読者への影響

「機械的な連続アクセス」は、プログラムで大量のアクセスを自動で繰り返す手口です。マイページの情報がそのまま見られたため、住所や電話番号に加えて、贈り物などで登録した家族や知人のお届け先も含まれます。カードの下4桁と有効期限がそろっていると、カード会社を名乗る偽の連絡が本物らしく見えます。

03今すぐやること

1. アプリの初回起動時に出るパスワードの再設定を行う。ほかで同じパスワードを使っていれば、そちらも変える
2. アエナや公的機関、金融機関を名乗るメール・SMS・電話のリンクは開かない。同社は、パスワードやカード情報をメール・SMS・電話で聞くことはないとしています
3. お届け先に登録した家族や知人には、不審な連絡に注意するよう伝える
4. カードの利用明細に覚えのない請求がないか確かめる
5. 不安な点は専用フリーダイヤル（0120-532-565、10時〜17時、土日祝除く）へ

04同じことを防ぐには（会社の方へ）

アプリの裏側の仕組み（API）に、同じ相手から短時間に大量の問い合わせが来たら止める仕組みがないと、正規の画面と同じ形のアクセスで情報を抜かれます。10月はこの手口の発表が相次ぎました。アプリを外注している会社は、回数の制限やWAF、診断の範囲にAPIが入っているかを委託先に確かめてください。

05今後の発表

アエナは根本的な原因の調査と改修を続け、新たにお知らせすべきことが分かれば速やかに公表するとしています。アプリでの退会ができなかった期間のために、退会専用ページ（ec-kaiin-sakujo.aena.co.jp）も開設しました。