決済アプリIDARE、13万人分が漏えい　残高も買い物の履歴も出ていた

スマホで使うプリペイド式の決済サービス「IDARE」で、12万9659人分の個人情報が漏れた。運営するFivotが10月13日に発表した。対象は、9月27日までにIDAREに登録した人だ。この数には、すでに退会した人も入っている。

入り口になったのは、カスタマーサポートなどの仕事で使っていた外部ソフトの脆弱性だった。そこを突かれて、8月10日から9月27日までの間に、データベースの中身が何度も持ち出された。どのソフトだったのかは、会社のお知らせに書かれていない。

漏れたもの、漏れなかったもの

対象者の全員で漏れたのは、電話番号、メールアドレス、生年月日、ユーザーID、表示名などの登録情報と、残高、取引履歴だ。IDAREカードの名義と有効期限も入っている。一部の人は、さらに氏名、住所、本人確認書類の番号まで出た。入金に使っていたクレジットカードの先頭6桁と下4桁、IDAREカード番号の下4桁、銀行口座番号の下3桁も漏れた。

では、お金は大丈夫なのか。会社の説明では、ログインパスワードと本人確認書類の画像は漏れていない。カード番号の全桁、セキュリティコード、暗証番号も取られていないという。ログインには多要素認証が必ず要るので、今回漏れた情報だけで他人がアカウントに入ることはできない、とも書いている。13日の時点で、漏れた情報を使った不正な取引は見つかっていない。会社は不正アクセスの通り道をふさぎ、そのソフトを使うのもやめたとしている。

やめた人の情報が、なぜ残っていたのか

ここが、ややこしい。会社のお知らせは、退会した人の情報がなぜ手元にあったのかを説明していない。ただ、IDAREのプライバシーポリシーに、手がかりがある。犯罪収益移転防止法の決まりで、氏名・住居・生年月日は、契約が終わった日などから7年間保存される。本人確認に使った画像も同じだ。

退会した人は、アプリを開けない。それでも、会社のお知らせの末尾にある問い合わせフォームから、照会はできる。お金の情報サイト「Money Lifehack」が、そう書いている。会社は、対象になった人に、どの情報が漏れたかをメールで個別に知らせるとしている。

ネットの評判

節約の情報を扱う個人ブログ「節約速報」には、利用者の書き込みが並ぶ。目立つのは、漏えいの発表が次々と続く状況にあきれた皮肉だ。「弊社、ハッキングされました！大会　さてさて、今日はどの企業が発表するかな？　楽しいな～♪」と書く人もいた。クレジットカードの先頭6桁と下4桁が出た点について、見えている桁が多すぎると突く声もある。ブログの書き手自身は、ほかのサービスの流出情報と突き合わされるのを心配している。

今使っている人にできることは、二つある。一つは、アプリの「セキュリティ」からIDAREカードをロックしておくこと。もう一つは、取引履歴と、入金に使ったクレジットカードの明細を、自分の買い物と見比べることだ。IDAREは、メールやSMS、電話で暗証番号や認証コードを聞くことはない、とも呼びかけている。

もし不正に使われていたら、急いだほうがいい。IDAREの補償は、損害が出た日から30日以内に、IDAREと警察の両方へ届け出た分しか対象にならない。しかも戻ってくるのは現金ではなく、IDAREポイントだ。