株式会社オープンスマイルは、同社が運営するポイントサイト「ワラウ」において、2026年10月4日に第三者による不正アクセスが発生し、その後の調査で会員の個人情報などが取得された可能性があることが判明したと発表しました。
同社は10月8日の初報で、PC版ログインや旧Tポイント交換で利用していたYahoo! JAPAN ID連携用トークンが取得された一方、氏名やメールアドレス、パスワード、ポイント、口座情報などは流出していないと説明していました。
しかし、その後新たな攻撃元が判明し、データベース上の記録だけでなくサーバーのアクセス記録まで調査範囲を拡大した結果、会員情報についても第三者に取得された可能性があることが分かりました。オープンスマイルは10月8日の発表内容を訂正し、謝罪しています。
10月4日に不正アクセス、入力欄の脆弱性を悪用
不正アクセスが発生したのは2026年10月4日です。原因は、ワラウのサイト内にある一部の入力欄に存在していた脆弱性とされています。
オープンスマイルは同日中に侵入経路を遮断し、10月6日には攻撃の手口と原因となった箇所を特定して修正しました。
あわせて、すべての会員のログイン状態と自動ログインを解除し、PC版のYahoo! JAPAN ID連携もすべて解除しています。
Yahoo! JAPAN ID連携トークンは実際に取得
今回の不正アクセスでは、PC版ログインや旧Tポイント交換で使用されていたYahoo! JAPAN ID連携用トークンが第三者に取得されたことが確認されています。
10月8日の発表では、対象となったトークンはすべて有効期限切れとされていましたが、その後の調査で、攻撃時点で有効期限内だったトークンも一部含まれていたことが判明しました。
これらのトークンはYahoo! JAPAN IDやYahoo! JAPANのパスワードそのものではありません。対象となるトークンについては、有効期限内だったものを含め、10月6日にすべて無効化されています。
氏名・メールアドレス・口座情報なども取得された可能性
サーバーのアクセス記録を分析した結果、2026年10月4日時点で保存されていた会員情報のうち、複数の情報が取得された可能性があるとしています。
対象となる可能性がある登録情報には、氏名、生年月日、性別、都道府県、郵便番号、メールアドレスなどが含まれます。
ログイン関連情報では、ハッシュ化されたパスワード、秘密の質問と答え、ログイン履歴などが対象です。
さらに、ポイント獲得履歴、ポイント交換履歴、交換先の会員番号などのポイント関連情報や、金融機関名、支店名、口座番号、口座名義といった振込先口座情報も取得された可能性があります。
対象となる情報は、会員ごとの登録内容やワラウの利用状況によって異なります。また、退会済みの利用者や、会員登録の途中だった利用者の情報も一部含まれるとしています。
パスワードはハッシュ化、秘密の質問の答えは判読可能な状態で保管
ワラウのログインパスワードは、元の文字列へ戻すことが困難なハッシュ化された形式で保存されており、パスワードそのものが保存されていたわけではありません。
ただし、取得された可能性のあるハッシュ値が将来的に解析される可能性を完全には否定できないことから、すべての会員にパスワードの再設定を求めています。
一方、ポイント交換時に使用する「秘密の質問の答え」については、パスワードとは異なり、第三者が判読できる形式で保存されていました。
オープンスマイルは2026年10月15日にすべての秘密の質問の答えをリセットし、現在はパスワードと同様に元に戻すことが困難なハッシュ化形式で保存する方式へ変更しています。
10月9日夜にも新たな不正アクセスの試み
10月9日夜には、同社サーバーに対する新たな不正アクセスの試みも検知されました。
これを受け、10月10日未明からワラウのすべてのサービスを停止し、サイト全体の点検や追加のセキュリティ対策を実施しました。
オープンスマイルによると、10月9日の不正アクセスの試みを含め、10月5日以降に情報が取得された形跡は現時点では確認されていません。
10月15日にサービス再開、ポイント交換は19日から順次再開
ワラウは、サイト全体の点検や脆弱性の修正、ログイン情報の保管方式の強化などを実施したうえで、2026年10月15日にサービスを再開しました。
ポイント交換については、不正利用防止のため一時停止されていましたが、10月19日から順次再開しています。
また、会員がパスワードや秘密の質問の答えを再設定した後、24時間はポイント交換を行えない仕組みを導入しています。
10月8日の発表を訂正した理由
10月8日時点では、当時把握していた攻撃元とデータベースに残された記録をもとに調査していたため、Yahoo! JAPAN ID連携用トークン以外の個人情報については流出していないと判断していました。
その後、攻撃に利用された別の通信元が新たに発見されたことから、データベース上には残らない通信を含めてサーバーのアクセス記録を詳細に分析。その結果、個人情報などについても第三者に取得された可能性があることが判明したと説明しています。
ワラウと同じパスワードや秘密の質問を使っている場合は変更を
オープンスマイルは、ワラウのパスワードと秘密の質問の答えを再設定するよう会員に呼びかけています。
また、同じパスワードや秘密の質問の答えを他社サービスでも使用している場合は、それらについても変更するよう案内しています。特に、ポイントサービスやインターネットバンキングなど、金銭に関係するサービスを優先し、利用可能な場合は二段階認証も設定することが推奨されています。
お詫びや補償を装うフィッシングにも注意
今回の事案では、氏名や生年月日、メールアドレス、ポイント利用履歴、口座情報などが取得された可能性があります。
こうした情報が悪用された場合、実際の登録情報やポイント交換履歴などを用いて、正規の案内に見せかけたフィッシングメールやSMS、電話が行われる可能性があります。
オープンスマイルは、同社がパスワードや暗証番号を尋ねたり、振り込みを求めたりすることはないとして、「お詫び」「補償」「本人確認」「ポイント返還」などを口実に情報を聞き出そうとする連絡へ注意するよう呼びかけています。
メールやSMSでパスワードや銀行口座情報の入力を求められた場合は、記載されたリンクを直接開かず、ブックマークや検索結果などから公式サイトへアクセスして確認することが重要です。
現時点で不正なポイント交換や金銭被害は確認されず
オープンスマイルによると、現時点で今回の不正アクセスに起因すると確認された不正なポイント交換や金銭的な被害は確認されていません。
同社は個人情報保護委員会への報告に加え、警察庁への通報、JIPDECへの報告を行っています。また、外部のセキュリティ専門機関による調査を進めており、調査結果と再発防止策については改めて公表するとしています。