暗号資産取引所Zaifが委託先への不正アクセスで38万件超のメールアドレス流出を確認。二次被害は未確認で委託先を見直す方針

国内の暗号資産取引所Zaifは、メール配信の委託先であるアララ株式会社への不正アクセスにより、38万536件のメールアドレスが外部に流出したことを確認したと発表しました。現時点でZaif自身のシステムへの侵入や、不正ログイン、暗号資産の流出といった二次被害は確認されていません。流出した情報はメールアドレスのみであり口座への直接的なログインは行えないものの、暗号資産事業者におけるサードパーティを含めたセキュリティ管理体制のあり方が問われる重要な事例といえます。Zaifは関係当局への報告を完了しており、委託先管理の見直しを進める方針を示しています。

被害の規模とZaif口座の安全性

今回の流出は、Zaifがメール配信業務を委託しているアララ株式会社のサーバーが不正アクセスを受けたことによるものです。流出が確認されたのはZaifが委託先に登録していた重複を除く38万536件のメールアドレスで、過去の登録分が含まれている可能性があるため、取引所側は現在のアクティブ利用者を含む内訳の確認を進めています。

Zaifによると、委託先に提供されていた情報はメールアドレスのみであり、ログインパスワードなどの認証情報は流出していません。メールアドレス単体では口座へログインできない仕様となっているほか、Zaif自身のシステムへの侵入や資産流出などの不正被害は現時点で発生していないと説明されています。

委託先サービスにおける被害状況と攻撃の手口

委託先であるアララが提供するメール配信サービス「アララ メッセージ」では、10月28日に不正アクセスが検知され、10月31日にサービスが全面停止されました。アララの親会社であるペイクラウドホールディングスの発表によると、契約企業のサーバー97台から約7,700万件のメールアドレスが流出またはそのおそれがあり、影響を受ける企業は最大で約380社に上る見通しです。

攻撃者は乗っ取った配信システムを悪用し、外部から持ち込んだリストに対してクレジットカード会社を偽装した不審メールを10月28日から30日の間に最大約713万通送信したとされています。外部の大規模配信プラットフォームが悪用された形となり、広範な企業基盤に影響を及ぼしています。

取引所の対応と利用者への注意喚起

Zaifは事態の発覚以降、同社やアララを名乗るフィッシングやなりすましメールへの警戒を強く呼びかけています。不審なメールに記載されたリンクへのアクセスや添付ファイルの開封、偽のログイン画面に認証情報を入力しないよう求めているほか、セキュリティ向上のため、メール認証を利用している顧客に対して認証アプリへの切り替えを案内しています。

同社は11月2日の初期公表以降、配信サービスの停止に伴ってお知らせメールの送信を休止しており、再開次第、対象者への個別案内を実施する予定です。すでに監督官庁などの関係当局への報告は済ませており、委託先に対する原因究明の要求を行うとともに、委託先の見直しを含めた再発防止策を進めるとしています。

ポイント

• 委託先であるアララへの不正アクセスにより、重複を除く38万536件のメールアドレス流出が確認されました。
• 取引所自身のシステム侵害や不正ログイン、暗号資産の不正流出といった二次被害は現時点で確認されていません。
• 流出データにはパスワードが含まれずメールアドレス単体での口座ログインは不可能ですが、なりすましメールなどのフィッシング詐欺に悪用されるリスクの観点から注意が求められます。
• 委託先全体では最大約380社・約7,700万件に影響が及ぶ大規模インシデントとなっており、Web3企業にとってもサプライチェーン管理の重要性を示す事例として注目されます。
• Zaifは関係当局へ報告済みであり、アララへの原因究明要求や委託先選定の見直しを進めるとともに、顧客へ認証アプリへの移行を案内しています。