国内暗号資産取引所Zaifは、業務委託先への不正アクセスにより顧客のメールアドレス38万536件が外部流出したと発表した。氏名やパスワード、取引情報の流出は確認されていないが、メール配信を停止し、利用者に不審な連絡への警戒を呼びかけている。
メールアドレス38万536件、重複除き流出
2026年11月4日の発表によると、今回の問題は、Zaifがメール配信に利用する「アララ メッセージ」の提供元、アララ株式会社のサーバー環境で発生したという。
アララから11月2日に情報流出の確認について連絡を受け、Zaifは同日、公式サイトとXで流出の可能性を告知した。
その後、同日夜にメールアドレスの流出が確定したとの報告を受け、11月4日には対象アドレス一覧の提供を受けたという。
流出件数は重複を除いて38万536件に上り、過去に配信サービスへ登録されたアドレスも含まれる可能性がある。現役利用者が何人含まれるかは引き続き確認中だ。
委託先に登録していた情報はメールアドレスのみで、氏名、住所、電話番号、取引情報、パスワードなどは含まれない。Zaif本体のシステムへの不正アクセスも確認されておらず、現時点で本件に起因する不正ログインや資産流出といった二次被害も報告されていない。
一方、アララ側のサービス停止に伴い、Zaifからの各種案内メールも一時停止している。
重要情報は公式サイトとXで告知し、配信再開後に対象者へ個別連絡する方針だ。
資産被害なくても詐欺リスク、委託管理に課題か
今回の流出は認証情報や資産そのものの漏えいとは異なり、メールアドレスだけでZaifの口座へログインすることはできない。委託先へ提供する情報を限定していたことは、被害の範囲を抑えるうえで一定の効果があったと考えられる。
ただし、暗号資産取引所の利用者に結び付くメールアドレスが第三者に渡った場合、フィッシングの標的になるおそれがある。取引所を装って偽サイトへ誘導し、パスワードや二段階認証コードを盗み取る攻撃には、引き続き警戒が必要だろう。
また、委託先への攻撃が顧客情報の流出だけでなく、通知手段の停止までも招いた点は重大事項と言える。外部サービスへの依存は業務効率化につながる一方、障害や攻撃が発生した際には、顧客との連絡体制そのものが影響を受けるリスクを伴うはずだ。
今後は、委託先のセキュリティ管理を定期的に検証する仕組みや、代替の連絡手段を確保する体制が重要になるだろう。Zaifが信頼を回復できるかは、原因究明と再発防止策の具体化に加え、利用者への継続的な情報提供を行えるかどうかにありそうだ。
関連記事:
セガのゲーム基盤に不正アクセス 一部アーケードのオンラインプレイ停止
不正アクセスによる個人情報流出 消費者庁、パスキー・多要素認証の活用呼びかけ
GMO「お名前.com デスクトップクラウド」への不正アクセス 総額上限1.5億円の懸賞金で関与者の情報募集
