ネットマーケティング：マッチングアプリ「Omiai」の年齢確認書類の画像171万1756件が、不正アクセスで流出

1. 2021-04-20

   この日から4月26日にかけて、数回にわたり、年齢確認書類の画像データが外部に取り出された。 [1] [4]

2. 2021-04-28 15:00

   このころ、年齢確認書類の画像データを大量に求める、通常の運用では考えにくい要求を見つけた。不正アクセス元とみられるIPアドレスを遮断し、総務省に第一報を入れた。 [1] [4]

3. 2021-04-30

   警察に第一報を入れ、被害を相談し始めた。 [4]

4. 2021-05-05

   外部の専門機関とフォレンジック調査を始め、監視を強めた。 [1] [4]

5. 2021-05-21

   公表し、対象の会員にアプリ内のお知らせで謝り、お客様相談センターを設けた。 [1] [2] [3]

6. 2021-07-05

   日本プライバシー認証機構が、5月21日に公表された会員情報の流出を受けて、ネットマーケティングと結んでいたTRUSTeのライセンス契約をすべて解除すると決めた。 [5]

7. 2021-07-16

   ネットマーケティングが、会員情報の流出への対応費用として、特別損失9600万円を計上し、通期の業績予想を修正すると公表した。 [6]

8. 2021-08-11

   調査結果と再発防止策を公表した。 [4]

調査の結果、第三者が年齢確認書類の画像データにアクセスするための情報を不正に手に入れ、それを使って画像データへの要求を大量に作り、取り出した。マルウェアへの感染や、システムの弱点を突く方法ではなく、正規のデータ要求を装っていたため、4月28日に見つけるまでに時間がかかった。経路は、クラウドサーバを経由する同社のAPIサーバだった。 [4]

2018年1月31日から2021年4月20日に年齢確認の審査書類を出した、すでに退会した人を含む171万1756アカウント分の画像が対象。種類は運転免許証、健康保険証、パスポート、マイナンバーカードの表面などで、初めは約6割が運転免許証と説明されたが、調査後は運転免許証と健康保険証で9割以上とされた。氏名、住所、生年月日、顔写真、書類ごとの登録番号が写る。使ってはいけないマイナンバーカードの裏面が誤って1件出されていて、マイナンバーも1件含まれる。クレジットカード情報は金融機関に任せていて、同社は持たない。 [1] [2] [4]

同社は、情報が悪用された具体的な被害は確認していないとした。年齢確認書類の画像は、2021年12月1日から提出後72時間で自動削除する方針に改めるとし、本件の対象者の画像は暗号化して、インターネットから切り離したサーバに保管するとした。 [4]