アソビュー、顧客情報約1582万件が流出、チケット購入・利用履歴なども、委託先への不正アクセスで

レジャー・遊び体験予約サイト「アソビュー！」を運営するアソビュー社は、2026年11月3日、顧客のメールアドレスや会員情報、チケット購入・利用履歴など、計1582万1184件の情報が外部に流出したと発表した。原因は、同社がメール配信を委託しているアララ社のサービスへの不正アクセス。アララ社では、複数の契約企業の情報を含む約7700万件のメールアドレスが外部に持ち出されたことが判明しており、アソビューの情報流出もその一部となる。

アソビューで流出したのは、メールアドレスのほか、会員ID・会員番号、氏名、性別、生年月日、会員登録日、最終ログイン日、電話番号、郵便番号、居住地域など。さらに、チケットの購入日時、種類、購入枚数、利用施設名、利用日時、参加人数、キャンセルの有無など、具体的な購入・利用履歴も含まれている。

一方、パスワードやクレジットカード情報は委託先のサービスに預けておらず、流出の対象には含まれていない。現時点で、流出した情報の悪用による被害は確認されていないという。

今回の情報流出は、アソビュー自体のシステムではなく、メール配信サービス「アララメッセージ」への不正アクセスに起因するもの。アソビューは11月2日にアララ社から情報流出の報告を受け、同サービスを利用するすべてのメール配信を停止するとともに、管理画面のパスワードやAPIキーなどの認証情報を無効化した。翌3日に流出件数や情報の項目について報告を受けた。

現時点では、流出したメールアドレスがどの会員のものかは特定できておらず、アララ社が調査を進めている。アソビューは対象者の特定後、個別に連絡する方針。また、外部委託先の選定基準を見直し、委託先に預ける情報を必要最小限にするなど、管理体制を強化する。

アララ社への不正アクセスで最大約380社に影響

不正アクセスを受けたアララ社は、11月2日に公表した第2報で、被害が当初の想定より大幅に拡大したことを明らかにした。

同社は10月29日の第1報で、共用環境への不正アクセスによって約301万件のメールアドレスが流出したと発表。その後の調査で、第三者が同社のサーバーを経由して多数の契約企業の環境に侵入し、データを外部に持ち出していたことが判明した。

新たに確認された被害は、契約企業の環境にあるサーバー97台に及び、対象企業は最大約380社と推計されている。持ち出されたメールアドレスは約7700万件に上り、氏名、性別、生年月日、電話番号、住所、会員番号など、各企業が登録していた会員情報も含まれていた。

また、当初確認された共用環境からの流出についても、メールアドレスが338万6187件に増加。5社が登録していた氏名や会社名などを含む顧客データも、最大41万1827件流出したことが判明した。ただし、各環境で重複するメールアドレスがある可能性から、アララ社は件数を合算していない。

不正アクセスの原因について、同社はWebサーバーの脆弱性に加え、システム環境上の問題も関係していたと説明。一連の不正アクセスは同一の第三者によるものとみられ、侵入経路などの調査を続けている。

さらに、同社のメール配信サービスが不正利用され、10月28日から30日にかけてクレジットカード会社を装った不審なメールが最大約713万通送信されたことも確認された。

アララ社は10月31日に「アララメッセージ」の提供を全面停止。再開時期は未定としており、侵入経路の特定やシステムの安全性確認、認証情報の変更などを進めている。

アソビューは今回の情報流出を受け、同社を装った不審なメールやSMS、電話などに注意するよう呼びかけている。特に、返金やキャンセル、本人確認などを理由に個人情報や支払いを求める連絡に警戒するよう求めている。