暗号資産（仮想通貨）交換業者のZaifは4日、メール配信を委託するアララ株式会社への不正アクセスにより、同社がアララのサービスに登録していた顧客のメールアドレス38万536件（重複を除く）が外部に流出したと公表した。流出したのはメールアドレスだけで、氏名やメール本文は含まれていないという。Zaifによると、自社システムへの不正アクセスは確認されておらず、現時点で不正ログインや資産の流出などの二次被害も確認されていない。
Zaifの第2報、流出はメールアドレスのみ
Zaifの第2報によると、同社は2日夜、アララから顧客のメールアドレスの流出が確認されたとの報告を受け、4日に流出したアドレスの一覧の提供を受けた。38万536件という件数は、アララの報告に基づく。
流出分には、過去にZaifがアララに登録したアドレスも含まれる可能性がある。現在の利用者の件数を含む内訳は確認中だという。
Zaifがアララに登録していた情報はメールアドレスだけだ。氏名、住所、電話番号、取引情報、パスワードなどは登録しておらず、これらが流出した事実はないという。
流出した情報にパスワードなどの認証情報は含まれず、同社は「メールアドレスのみでお客さまの口座にログインすることはできません」としている。
| 項目 | 第1報（11月2日） | 第2報（11月4日） |
|---|---|---|
| Zaifの顧客のアドレス | 対象に含まれるか、アララが調査中 | アララの調査で38万536件の流出を確認（重複を除く） |
| 流出した情報 | アララへの登録はメールアドレスのみ | メールアドレスのみ（氏名やメール本文は含まず） |
| 二次被害 | 現時点で確認されていない | 現時点で、不正ログインや資産の流出などは確認されていない |
| 利用者への呼びかけ | 不審なメールへの注意 | 不審なメールへの注意、認証アプリへの切り替えの検討 |
| 当局への報告 | 記載なし | 関係当局に報告 |
Zaifは近畿財務局に登録された暗号資産交換業者（近畿財務局長第00001号）で、金融庁の暗号資産交換業者登録一覧（9月30日現在）をJinaCoinが集計したところ、24銘柄を取り扱う業者として記載がある。
登録業者9月30日現在
株式会社Zaif
- 登録番号
- 近畿財務局長 第00001号
- 登録日
- 2017年9月29日
- 取扱銘柄
- 24種類
- 行政処分
- 記録なし （2017年以降）
アララ、契約企業のサーバーから約7,700万件持ち出し
アララは10月29日の第1報で、メール配信サービスの1システムが不正アクセスを受け、メールアドレス約301万件が持ち出されたと公表した。11月2日の第2報では、この件の件数を338万6,187件（重複を除く、精査中）に更新し、Webサーバーの脆弱性に加え、システム環境の問題も関係していたとした。
第2報では新たに、契約企業の環境のサーバー97台から、メールアドレスと氏名などの会員情報（項目は企業により異なる）が持ち出されたことも判明したという（恐れのあるものを含む）。
持ち出されたメールアドレスは現時点の調査で約7,700万件。対象の契約企業の数は精査中で、最大約380社と推計している。件数も精査中で、1人が複数のアドレスを持つ場合もあるため、利用者の数を示すものではないという。侵入の経路は調査を続けている。
Zaifの38万536件が、アララの発表のどの区分に当たるかは、両社とも示していない。
アララのサービスはこれとは別に不正利用され、10月28〜30日にクレジットカード会社を装った不審なメールが最大約713万通送られた。送信元は「news@arara.com」で、宛先は第三者が外部から持ち込んだアドレスだったという。
| 日付（日本時間） | 出来事 |
|---|---|
| 10月27〜28日 | アララの共用環境の管理画面に不正ログイン、データの持ち出し。28日16時31分に緊急停止 |
| 10月28〜30日 | アララのサービスが不正利用され、不審なメールが最大約713万通送信 |
| 10月28〜31日 | アララのサービスを経由して契約企業のサーバーからデータが持ち出される（31日に把握） |
| 10月29日 | アララが第1報（メールアドレス約301万件） |
| 10月31日 | アララがメール配信サービスの提供をすべて停止 |
| 11月2日 | アララが第2報（約7,700万件、精査中）。Zaifが同日、アララから連絡を受けて第1報 |
| 11月2日夜 | Zaifの顧客のアドレスの流出が確認されたとアララがZaifに報告 |
| 11月4日 | Zaifがアドレスの一覧を受け取り、第2報（38万536件） |
ほかの契約企業では、TKCが2日、アララの調査で漏えいの対象に同社システムの利用者のメールアドレスが最大223万812件含まれていたと発表した。
Zaif、認証アプリへの切り替えを呼びかけ
Zaifは、流出したアドレスに同社やアララを名乗るなりすましメールやフィッシングメールが届く可能性があるとして、注意を呼びかけた。本文のリンクを開かない、添付ファイルを開かない、偽のログイン画面にパスワードや二段階認証コードを入力しない、の3点を挙げている。
Zaifがメールなどでパスワードや二段階認証コードを尋ねることは一切ないという。第2報では、メール認証の利用者に「より安全性の高い認証アプリによる二段階認証への切替」の検討を求めた。第1報にはなかった呼びかけだ。
アララのサービス停止に伴い、Zaifは各種お知らせメールの配信を止めている。本件の連絡はまずホームページへの掲載で行い、対象者にはメール配信の再開後に改めて個別に連絡する。
続報はホームページと公式Xに掲載する。安全性を確認したうえで配信手段を見直し、再開の時期と方法は決まり次第ホームページで案内するという。
Zaifは、アララに原因と再発防止策の詳しい説明を求めるとともに、委託先への情報提供の範囲や安全管理の体制を点検し、委託先の見直しを含めて改善を進めるとしている。
関連：仮想通貨ハードウェアウォレットの購入者情報が流出、Keystoneが謝罪
関連：韓国仮想通貨取引所ビッサムで顧客6,444人分の情報流出
