1. セキュリティ対策ラボ
  2. セキュリティニュース
  3. 個人情報漏洩のニュース
  4. ジモティーの開発環境に不正アクセス、問い合わせ情報など一部個人情報が閲覧可能状態に

ジモティーの開発環境に不正アクセス、問い合わせ情報など一部個人情報が閲覧可能状態に

セキュリティニュース

投稿日時: 更新日時:

ジモティーの開発環境に不正アクセス、問い合わせ情報など一部個人情報が閲覧可能状態に

フリマ・掲示板サービス ジモティー を運営するジモティー社は 12月5日、社内開発環境の一部が第三者から不正アクセスを受け、一部の個人情報が外部から閲覧できる状態になっていたと発表しました。サービス本番環境は分離されており、クレジットカード情報やパスワードなど決済・認証に関わる情報の流出は確認されていないとしています。今回の公表は第一報で、詳細は現在調査中です。

不正アクセスの概要

11月26日夕方、ジモティー社が利用する本番環境とは分離された社内開発環境の一部で、マルウェア感染を含む不正アクセスの兆候が検知されました。
同社は直ちに当該環境をネットワークから遮断し、調査を開始。その結果、不正アクセスが事実であることを確認しました。

11月29日までの社内分析で、当該開発環境に保存されていた個人情報の一部が外部からアクセス可能な状態となっており、その中の一部については実際に外部からアクセスされたことが判明しています。
現在もログ解析などを通じて、影響範囲や侵入経路の特定が続けられています。

外部からアクセスされた、またはアクセスされた可能性のある情報

現時点の調査で、以下の情報について外部からアクセスされた、もしくはアクセスされた可能性があるとしています。

外部からのアクセスが確認された情報

  • ジモティー上の特定カテゴリーへの問い合わせ実績の有無

    • あるカテゴリーに問い合わせしたことがあるかどうかを示すフラグ情報（TRUE / FALSE）

    • ユーザーIDと紐づいて管理

    • メッセージ本文や問い合わせ日時など具体的な内容は含まれない

    • 件数は精査中

  • 一部の同社従業員・元従業員・開発業務に従事する社外協力者の氏名およびメールアドレス

    • 件数は精査中

ここでいうユーザーIDは、ジモティー利用者全員にランダムに割り振られる符号であり、サービス内で既に公開されている情報です。このフラグ情報単体では個人が特定されにくいものの、ユーザーIDと組み合わさることで、特定カテゴリーへの問い合わせ有無が分かる状態になっていたと説明しています。

外部からアクセスされた可能性がある情報

  • ユーザーのメールアドレス

  • ジモティーからの通知を受け取るかどうかの設定

  • サービス内で公開されているID

これらについては、2名分の情報が閲覧可能であった可能性があり、対象となるユーザーには本リリース公開と同時に、個別にメールで連絡済みとしています。

外部流出は確認されていない情報

同社は、以下の情報については外部からのアクセスや流出がなかったことを確認したとしています。

  • クレジットカード情報、銀行口座番号などの決済情報

  • ログインに必要なパスワード

  • マイナンバー、住所、電話番号などの個人情報

  • ジモティースポット など、自治体との委託・協業事業における利用者情報

今後の調査で新たな事実が判明した場合には、速やかに公表するとしています。

対象ユーザー・関係者への連絡方針

メールアドレスにアクセスされた、あるいはアクセスされた可能性があったユーザーについては、すでに個別メールでの連絡が行われています。

また、本件の影響を受ける可能性のあるすべてのユーザー、従業員、社外協力者、取引先などに対しては、12月中旬をめどに、順次電子メール等で個別の案内を送付する予定としています。

利用者への注意喚起

今回の事案では、クレジットカード情報やパスワードなど直接的な金銭被害につながる情報の流出は確認されていませんが、同社は念のため、次のような対策を呼びかけています。

  • ジモティーや運営会社、関連企業を名乗る不審なメールや SMS を受け取った場合

    • 身に覚えのないリンクは開かない

    • 添付ファイルを開かない

    • 個人情報、パスワード、認証コードなどを求められても回答しない

不審な連絡を受け取った場合は、同社のお問い合わせ窓口に相談するよう求めています。

原因究明と再発防止策

ジモティー社は現在、次の観点で調査・対応を継続中としています。

  • 不正アクセスの手口および侵入経路の特定

  • 影響を受けたデータの範囲と対象期間の詳細な特定

  • 同種事案を防ぐための技術的・運用的な対策の検討

今後の続報では、すでに実施済みの緊急対策に加え、中長期的に実施する再発防止策とその実施時期を整理した上で、公表する方針です。

サービス運営・業績への影響

同社によると、ジモティー および ジモティースポット などのサービス運営自体には支障はなく、2025年度および2026年度の業績への影響も軽微と見込んでいます。今後、新たに開示が必要な事項が生じた場合には、速やかに案内するとしています。

関連記事

仮想通貨エアドロ「ハムスターコンバット」は世界的に1億5000万人がインストールされているとされています。ESETはこの「ハムスターコンバット」の偽のダウンロードページでマルウェアが配布されている事を警告しました。偽のハムスターコンバットでマルウェア配布を確認 松山大学、サポート詐欺と不正アクセスにより個人情報漏洩の可能性松山大学、サポート詐欺と不正アクセスにより個人情報漏洩の可能性 佐賀ダイハツ、保険契約情報を誤って別保険会社に提供し個人情報漏洩佐賀ダイハツ、保険契約情報を誤って別保険会社に提供し個人情報漏洩 サザビーズ、サイバー攻撃で従業員情報が流出の可能性オークションハウスのサザビーズ、サイバー攻撃で従業員情報が流出の可能性 イベリア航空、サプライチェーン 経由の不正アクセスによるサイバー攻撃で顧客情報が流出の恐れイベリア航空、サプライチェーン 経由の不正アクセスによるサイバー攻撃で顧客の個人情報 流出の恐れ ダイワロイネットホテルズのBooking.comへの不正アクセスで個人情報漏洩の恐れ-フィッシングメッセージ配信もダイワロイネットホテルズのBooking.comへの不正アクセスで個人情報漏洩の恐れ-フィッシングメッセージ配信も アサヒ グループホールディングス、ランサムウェアによるサイバー攻撃で約191.4万件の個人情報漏洩または漏えいの可能性アサヒ グループホールディングス、ランサムウェアによるサイバー攻撃で約191.4万件の個人情報漏洩または漏えいの可能性 株式会社三英、公式サイト不正アクセスで個人情報流出の可能性を公表株式会社三英、公式サイト不正アクセスで個人情報流出の可能性を公表 関西エアポートワシントンホテル、予約者情報の漏えいを公表-フィッシング誘導通知をきっかけに判明関西エアポートワシントンホテル、予約者情報の漏えいを公表-フィッシング誘導通知をきっかけに判明