秋田ノーザンハピネッツ、ファンクラブ会員の最大9,530名分のメールアドレスが漏えいした可能性

01発表されている事実

1. 10月29日

   アララ株式会社が、メール配信サービス「アララメッセージ」への不正アクセスによる情報流出を公表（第1報）

2. 11月5日

   ファンクラブ業務の委託先、株式会社アクセルエンターメディアから、再委託先のアララ株式会社のシステムが不正アクセスを受け、情報漏えいが起きたとの報告を受ける

3. 11月6日

   ハピネッツがお詫びとお知らせを公表。同日、アララも「お詫びと今後の対応について」を公表

ハピネッツによると、現時点で漏えいした可能性が確認されているのはメールアドレスです。氏名などが含まれるかは調査中です。パスワードとクレジットカード情報は、アララに預けていないため、今回の件では漏えいしていません。実際の対象者や情報の範囲は、引き続き調査されています。悪用による具体的な被害は、確認されていません。

02委託先のアララ株式会社の発表

アララは、同社のメール配信サービス「アララメッセージ」への第三者による不正アクセスで、多くの情報が外部に持ち出されたと発表しています。11月6日の発表では、持ち出されたメールアドレスは重複を除いて81,329,467件で、対象のご契約企業は最大約380社と推計しています（精査中）。10月31日にすべてのサービスを止めていて、再開の時期は未定です。ハピネッツの会員分は、この一部にあたります。どの区分の分かは、公式の発表には書かれていません。

アララは、10月28日から30日にかけて、送信元「news@arara.com」からクレジットカード会社を装った不審なメールが最大約713万通送られたとも発表しています。

03読者への影響

クラブハピネッツの会員だった人は、自分のメールアドレスが対象かもしれません。ハピネッツは、漏えいした可能性のあるアドレス宛に、実在する企業や団体を装った不審なメールが送られるおそれがあると案内しています。ファンクラブのお知らせを装った文面は本物らしく見えるため、注意が必要です。

04今すぐやること

1. 身に覚えのないメールは、本文のURLをクリックしない。添付ファイルも開かない
2. ファンクラブやチケットを名乗るメールでも、IDやパスワード、クレジットカード情報を入力しない。確かめたいときは、公式サイトのニュースを自分で開く
3. 「利用内容確認のご依頼」などクレジットカード会社を装うメールは、削除する。カード情報を入力してしまったときは、すぐにカード会社へ連絡する
4. 同じメールアドレスとパスワードを、ほかのサービスでも使い回していないか見直す
5. 本件の問い合わせは、アクセルエンターメディアが設けた専用窓口（ハピネッツの公式発表にあるフォーム）へ

05会社の担当者が学べること

今回は、チームから見て「委託先の、さらに再委託先」で起きました。会員のメールアドレスのように、顧客から預かった情報を外部のサービスで扱うときは、次の点を決めておくと被害を小さくできます。

• どの情報を、どの会社（再委託先を含む）に渡しているかの一覧をつくる
• 委託先に、不正アクセスがあったときの連絡の流れと、期限を決めてもらう
• メール配信サービスを止めて、別の方法に切り替える手順を用意しておく

ハピネッツは、判明後にアララのサービスの利用を止め、別の配信方法への切り替えを完了したと発表しています。取引先・委託先の対策は、図鑑の「取引先から対策を求められた」のページも参考にしてください。

06今後の発表

ハピネッツは、アクセルエンターメディアと連携して、漏えいした情報の範囲や発生原因、情報管理体制を調べ、再発防止の対策を講じるとしています。新しい重要な事実が分かったときは、速やかに知らせる予定です。