あなたも対象か　ファンくる会員103万件超に漏えいのおそれ、APIの脆弱性を突かれ

　ファンくるは11月4日、モニター向けサービス「ファンくる」の会員情報を取得するAPIの脆弱性を突かれ、退会済みを除くモニター会員1,030,741件の個人情報が漏えいしたおそれがあると発表した。11月2日の第一報では「一部モニター会員」と記すにとどめ、件数は明らかにしていなかった。

　漏えいしたおそれがあるのは、会員ID、メールアドレス、ハッシュ化済みパスワード、氏名、性別、郵便番号、電話番号の下4桁。電話番号の残りはマスキングされているという。

　同社によると、第三者が情報を不正に取得したのは、10月30日10時52分から10月31日19時45分までの間。11月1日0時ごろに異常なアクセスを検知し、1時36分に通信を遮断して封じ込めた。同日10時43分にはシステムを停止している。

　原因は会員情報を取得するAPIの脆弱性で、具体的な内容は明らかにしていない。すでに脆弱性の修正とアクセス制御の強化は済ませたという。あわせて不正ログインの検知と監視の体制を強化し、全システムの緊急点検を実施している。個人情報保護委員会へ報告し、警察へも相談と被害申告を行った。

　同社は、パスワードを復号できない形式で保存しているとしたうえで、漏えいした情報を使った不正ログインやポイントの不正交換は確認されていないと説明している。サービスの停止は11月5日11時までの予定としているが、確定したものではない。調査の提出期限とポイントの有効期限は、11月9日まで延長した。

　漏えい情報を悪用した不審メールが届くおそれがあるとして、同社はメール内のURLや添付ファイルを開かず、個人情報やパスワードも入力しないよう呼びかけている。対象の会員には、登録メールアドレス宛に順次案内するという。