予約システム「いつあき」「TSUNAGU」に不正アクセス。店舗・施設の予約者情報153万6,322件が漏えい

01発表されている事実

1. 9月21日〜22日

   プログラムの入力処理の不備を悪用した不正アクセス。不正に作られた管理者用アカウントで予約データを取得される

2. 9月22日

   早朝、運用保守会社の監視で異常を検知。同日、攻撃元の通信を遮断し、不正なアカウントのパスワードを変更

3. 9月25日

   速報を公表。個人情報保護委員会に速報を提出

4. 10月16日

   契約している店舗・施設（契約終了済みを含む）にメールで報告

5. 10月19日

   専用の問い合わせフォームを設置。予約者へ順次メールで連絡を開始

ファインズが漏えいを確認した情報は、予約者の氏名・電話番号・メールアドレス、予約の内容（店舗・施設名、担当スタッフ名、メニュー名、予約日時、予約番号、料金・割引など）、顧客名の欄に書かれていた情報です。住所、生年月日、性別、マイページのログイン情報、顧客メモなどは「漏えいしたおそれ」があり、調査中としています。予約データにクレジットカード番号とマイナンバーの項目はありません。10月16日時点で二次被害は確認されていません。

利用していた猫カフェの発表では、同店はすでにファインズとの契約を終えていましたが、2020年1月8日から2025年1月31日までの予約データが対象になったと報告を受けたとしています。

02読者への影響

予約した人は、自分が「いつあき」や「TSUNAGU」を使ったと知らないことがほとんどです。お店のWebサイトやLINEから予約しただけでも、裏でこの仕組みが使われていれば対象になり得ます。漏れたのは「いつ、どの店で、何を予約したか」という具体的な情報です。店の名前や予約内容を正確に書いた偽のメールやSMS、電話が来ると、本物と区別しにくくなります。

店舗・施設の側にも影響があります。ファインズは契約先に、委託元にも個人情報保護委員会への報告義務があると伝え、ファインズがまとめて報告する「連名報告」を案内しています。自分で報告する場合は10月31日を目処に連絡するよう求めています。管理画面のパスワードはファインズが再設定するとしています。

03今すぐやること

1. ファインズから「いつあき」「TSUNAGU」の件でメールが届いていないか確かめる。問い合わせは同社の専用フォームから
2. 店や施設を名乗って、支払いやカード情報、ログインを求める連絡が来たら、リンクを開かず、店の公式サイトや電話番号で確かめる
3. 予約サイトのマイページで使っていたパスワードを、ほかのサービスでも使っているなら変える
4. 店舗・施設は、連名報告に加わるか自社で報告するかを決め、お客様からの問い合わせにはファインズの窓口を案内する

04同じことを防ぐには

今回は、解約した店の過去の予約データも対象になりました。予約や顧客管理を外部のサービスに任せている会社は、契約を終えるときにデータを消してもらえるか、事故のときにどう知らせてもらえるかを、契約の段階で確かめておくと安心です。図鑑の「取引先から対策を求められた」の入口では、委託先の管理の考え方をまとめています。

05今後の発表

ファインズは、対象の範囲やお客様への対応、再発防止の措置を、分かり次第更新して知らせるとしています。