Mリーグ公式サイトと公式オンラインショップに不正アクセス。利用者9,502人の個人情報が漏えい

01発表されている事実

1. 10月29日夜

   公式サイトと公式オンラインショップが不正アクセスを受け、ショップのお客様情報を含むデータが漏えい。同じ日のうちに異常を検知し、不正アクセスを遮断

2. 10月30日未明

   サーバーを停止

3. 11月2日

   公表。公式サイトで試合日程・結果とニュースの掲載を再開

漏えいした情報は、ショップの9,497件が氏名・住所・電話番号・メールアドレス（請求先・届け先として登録したもの）、ログインID、登録日、パスワードのハッシュ値（元に戻しにくい形に変えたもの）です。注文の内容（注文番号・日時・商品・金額・支払い方法）13,922件も含まれます。公式会員サイトの5件は、氏名・住所・電話番号です。登録した内容によって、含まれる項目は人ごとに違います。

クレジットカードなどの決済情報はこのシステムに持っていないため、含まれていません。決済代行会社で本件による不正な取引は確認されておらず、商品の不正な発送も確認されていないとしています。同機構は、いまのシステムを復旧させずに廃止し、切り離した新しい環境で作り直すとしています。公式サイトのログイン機能、新規会員登録、パスワードの再設定も止まっています。

02読者への影響

氏名・住所・電話番号・メールアドレスに、何をいつ買ったかという注文の内容まで含まれます。「ご注文の件で」「グッズの返金」などと、本物らしく話を合わせた偽のメール・SMS・電話が届くおそれがあります。同機構は、メール・SMS・電話・郵送でパスワードやカード情報を聞くことは一切ないとしています。対象者への連絡は support@m.m-league.jp または info@m.m-league.jp から送り、パスワードやカード情報の入力を求めるリンクや添付ファイルは付けないとしています。

03今すぐやること

1. 同機構を名乗るメールで、上の2つ以外のアドレスから届いたものは、リンクや添付ファイルを開かない
2. パスワードやカード番号を求める連絡には答えない。気になるときは問い合わせ窓口（support@m.m-league.jp、件名に「不正アクセスの件」）に聞く
3. ショップと同じパスワードをほかのサービスでも使っていたら、そちらを別のものに変える
4. 電話で注文の内容を言い当てられても、それだけで本物と思わない

04ネットショップを持つ会社へ

今回、同機構は「カード情報を持たない」作りにしていたため、決済情報は漏れませんでした。小さなネットショップでも、カード情報は決済代行会社に任せ、自社では持たないことが被害を小さくします。また、7年分の購入者の情報が対象になりました。使わなくなった古い注文データや退会者の情報を残さないことも大切です。サイトへの攻撃に備えて、WAF（Webへの攻撃を止める仕組み）や定期的な診断を入れておきましょう。

05今後の発表

対象のお客様には、登録したメールアドレスに順に個別の連絡をするとしています。ショップの再開時期は決まりしだい知らせるとしています。個人情報保護委員会には報告し、警察への届け出の手続きを進めています。