OTOTOYの情報漏えい可能性｜最大約48万件とサービス再開後の注意

OTOTOYを利用し、登録情報への影響と再開後の注意点が気になる方へ。オトトイは10月21日、会員情報への閲覧・取得の可能性を公表しました。対象項目と調査時点、サービス再開の経緯、利用者が確認することを説明します。

19日に停止し、20日22時頃にサービスを再開

オトトイは10月19日14時頃、脅威となるアクセスを把握してサービスを停止しました。原因調査と必要なシステムの修正措置、安全確認を行い、20日21時50分に再開を告知しました。

21日の続報では、サービスは20日22時頃に再開したと説明しています。再開告知の時刻と、実際の再開時刻として説明された「22時頃」を区別して確認してください。

10月21日18時の発表は、同日17時時点の調査結果として、最大約48万件の会員情報に閲覧・取得の可能性があると説明しています。対象項目は内部ユーザーID、メールアドレス、登録日時です。

これは閲覧・取得の可能性についての公表で、約48万人の情報が確定的に流出したという説明ではありません。詳細調査は継続しており、対象範囲は今後の公式発表で確認する必要があります。

公式発表は、不審なメールのリンクや添付を安易に開かず、個人情報やパスワードの入力に注意するよう案内しています。メールが届いたことだけで正規の案内と判断せず、公式発表を確認してください。

登録メールアドレスとパスワードは、ログイン後の環境設定で変更できると説明されています。変更が必要な場合は、その手順を確認してください。会社が全利用者に一律の変更を求めたという案内に置き換えないことも大切です。

20日の再開告知では、原因となる脆弱性と攻撃目的を特定したと説明しています。ただし、具体的な製品、欠陥の種類、攻撃時点で既知だったか、侵入経路は、参照した発表に記載されていません。

21日の発表では、セキュリティ対策、監視体制、情報管理体制を抜本的に見直す方針を示しています。具体的な施策や完了予定日は示されていないため、サービス再開と、詳細調査・体制見直しの完了を同じ意味にしないようにします。

会員情報と決済・音源等のデータを分離し、どの経路からどの情報へアクセスできるかを確認します。保管する情報の種類ごとにアクセス範囲を把握しておくことが、影響調査の備えになります。

利用者への説明では、情報を取得された可能性がある場合と、アクセスの形跡がない場合を区別できるようにします。調査時点と確認の程度を明記し、新しい事実が分かった際に案内を更新できるようにしておきます。

約48万人の情報流出が確定したのですか？

公表は最大約48万件の会員情報に閲覧・取得の可能性があるという内容です。10月21日17時時点の調査結果で、詳細調査は継続しています。

どの情報が対象ですか？

公表された対象項目は内部ユーザーID、メールアドレス、登録日時です。その他の項目について推測せず、今後の公式案内で対象範囲を確認してください。

OTOTOYは再開していますか？

21日の続報では、原因調査とシステム修正、安全確認を経て20日22時頃に再開したと説明しています。再開後も詳細調査は続いています。

メールアドレスやパスワードは変更できますか？

ログイン後の環境設定で変更できると案内されています。不審なメールから個人情報やパスワードを入力しないよう注意し、公式の案内で手順を確認してください。

オトトイの10月20日再開告知と21日18時の続報に関する保存済み調査に基づいています。