Fivotは10月13日、運営するキャッシュレスサービス「IDARE」が第三者から不正アクセスを受け、利用者の個人情報が外部に漏えいしたと発表した。
カスタマーサポートなどの業務のために導入していた外部ソフトウェアの脆弱性を悪用され、8月10日から9月27日にかけて複数回にわたりデータベースの情報が取得された。現在は不正アクセスの経路を遮断し、当該ソフトウェアの利用を終了するとともに、関連する認証情報の更新を完了している。新たな不正アクセスは確認されていない。
対象は9月27日までにIDAREに登録した利用者で、退会済みを含む129,659人。漏えいしたのは全対象者の電話番号、メールアドレス、生年月日、ユーザーID、表示名などの登録情報、アカウントの設定情報・ステータス、残高情報、取引履歴、IDAREカードの名義と有効期限。
一部の対象者については、氏名、住所、性別、利用目的、本人確認書類の番号などの本人確認時の申請内容、IDAREカード番号の下4桁、入金用に登録したクレジットカード番号の先頭6桁と下4桁、入金用に登録した銀行口座番号の下3桁、リアルカードのアクティベーションコードなども含まれる。
一方、本人確認資料や容貌の画像情報、ログインパスワード、IDAREカードの全桁の番号・セキュリティコード・暗証番号、登録したクレジットカードの全桁の番号・セキュリティコード・有効期限・暗証番号、銀行口座の全桁の番号・暗証番号は漏えいしていない。マイナンバーも流出していない。
Fivotでは、現時点で本件に起因する不正な取引は確認されておらず、利用者の残高は保全されており、サービスは通常どおり利用できるとしている。ログインには多要素認証を必須としているため、漏えいした情報のみで第三者がアカウントに不正ログインすることはできないという。
再発防止策として、ソフトウェアの脆弱性情報を継続的に監視する体制の整備、アクセスログの監視・アラート体制の整備、外部専門家による第三者調査の受け入れ、情報管理体制の強化を進める。
対象となる利用者には、個別にメールで案内する。問い合わせはアプリ内の「お問い合わせ」またはウェブサイトのフォームで受け付ける。
