不正アクセスによる個人情報に関するお詫びとご報告（第二報）

このたび、弊社が運営するポイントサイト「ワラウ」において、2026年10月4日に第三者による不正アクセスが発生しました。

10月8日には、PC版ログインおよび旧Tポイント交換で使用していたYahoo! JAPAN ID連携の情報（連携トークン）についてお知らせしております。10月8日のお知らせでは、「お名前、メールアドレス、パスワード、ポイント、口座情報などは流出していない」とお伝えしておりました。
その後の調査で、会員様の情報も第三者に取得された可能性があることが判明しました。また、Yahoo! JAPAN ID連携のトークンの一部には、攻撃の時点で有効期限内のものが含まれていました。10月8日のお知らせは誤りでしたので、本報告をもって訂正し、深くお詫び申し上げます。

10月8日のお知らせは、当時把握していた攻撃の通信元と、データベースに残っていた記録をもとに判断したものでした。その後、攻撃に使われた別の通信元が新たに見つかったため、調査の範囲を広げ、データベースの記録には残らない通信も含めてサーバーのアクセス記録を詳しく分析しました。その結果、上記の情報が取得された可能性があることが判明しました。

原因は、サイトの一部の入力欄にあった脆弱性です。この脆弱性を修正し、サイト全体の点検と追加のセキュリティ対策を行ったうえで、10月15日にサービスを再開いたしました。

また、本件については外部の専門機関に調査を依頼しました。調査の結果と再発防止策につきましては、まとまり次第あらためてご報告申し上げます。

会員の皆様をはじめ、関係者の皆様には多大なるご心配とご迷惑をおかけしておりますことを、心より深くお詫び申し上げます。


1. これまでの対応


  • 10月4日：弊社サーバーへの不正アクセスを検知。同日中に侵入経路を遮断し、被害の拡大を防ぐ措置を講じました
  • 10月6日：Yahoo! JAPAN ID連携の情報が取得されたことを確認。手口と原因箇所を特定し、修正を完了。あわせて念のため、全会員様のログイン状態と自動ログイン、PC版のYahoo! JAPAN ID連携を弊社側で解除しております
  • 10月8日：個人情報保護委員会へ速報を提出し、弊社サイトにてお知らせを掲載
  • 10月9日：警察庁へサイバー事案として通報し、一般財団法人日本情報経済社会推進協会（JIPDEC）へ報告。同日18時からは、連休中の会員様のポイントをお守りするため、ポイント交換の受付を一時停止しております
  • 10月9日夜：弊社サーバーへの新たな不正アクセスを検知。翌10日未明、安全が確認できるまでの間、調査と安全確保に万全を期すため、ワラウのすべてのサービスを一時停止
  • 10月10日〜14日：サービス停止中に、追加のセキュリティ対策（サイト全体の点検と脆弱性の修正、パスワードの保管方式の強化など）を実施
  • 10月11日：攻撃に使われた別の通信元が新たに見つかったため、会員情報にも影響が及んでいる可能性を視野に入れ、サーバーの記録の詳しい分析を開始
  • 10月12日〜14日：取得された可能性がある情報の範囲の特定を進め、現時点で判明している範囲を確認
  • 10月14日：10月5日から10日までのサーバーの記録を分析し、現時点で情報が取得された形跡は確認されていません
  • 10月14日：外部の専門機関へ調査を依頼
  • 10月15日：安全を確認したうえでサービスを再開。全会員様のパスワードと秘密の質問をリセットし、再設定をお願いしております。ポイント交換は、10月19日から順次再開いたします


2. 取得が確認されている情報


  • Yahoo! JAPAN ID連携用のトークン

大半は有効期限切れでしたが、攻撃時点では一部に有効期限内のものが含まれていました。これらを含め、10月6日に弊社側ですべて無効化しております。
※Yahoo! JAPAN ID連携用のトークンは、Yahoo! JAPAN IDやパスワードそのものではありません。


3. 取得された可能性がある情報


サーバーの記録を分析した結果、次の情報について取得された可能性があると判断しております。

  • 会員様のご登録情報（お名前、生年月日、性別、メールアドレスなど）
  • ログインに関する情報（ハッシュ化したパスワード、秘密の質問と答え、ログイン履歴など）
  • ポイントに関する情報（ポイントを獲得されたサービスなどの履歴、ポイント交換先の会員番号など）
  • 振込先口座の情報（金融機関名、支店、口座番号、口座名義）

※ご退会された会員様、会員登録のお手続き途中の方の情報も一部含まれます。
※このほか一部の情報は、引き続き調査しております。

現時点で、本件による不正なポイント交換や金銭的な被害は確認されておりません。なお、10月9日の不正アクセスを含め、10月5日以降の不正アクセスにより情報が取得された形跡は、現時点で確認されておりません。


4. 再発防止に向けた取り組み


原因となった箇所の修正に加え、サイト全体の点検と脆弱性の修正を10月14日に完了しております。あわせて、次の対策に取り組んでいます。

  • ログイン状態と自動ログインの無効化
  • パスワードのリセットと保管方式の強化
  • 秘密の質問と答えのリセットと保管方式の強化、質問項目の見直し
  • パスワードや秘密の質問を再設定された後の一定期間のポイント交換の制限
  • ポイントを受け取る交換先のアカウントが変更された際の、ご本人確認の強化
  • メールアドレス変更時の本人確認
  • 外部サービスとの連携や、暗号化に使用する鍵の更新
  • データベースのアクセス権限の見直しと、不正なアクセスを検知する仕組みの強化
  • 弊社で保有する個人情報の最小化
  • 第三者による脆弱性診断の実施

外部の専門機関による調査の結果も踏まえ、再発防止策をあらためてご報告申し上げます。


5. 会員の皆様へのお願い


皆様の大切な情報とポイントをお守りするため、お手数をおかけしますが、次の点についてご協力をお願い申し上げます。

  • ワラウのパスワードと秘密の質問を再設定してください。再設定後の一定期間は、安全のためポイント交換を制限しております。交換のご予定がある方は、お早めに再設定をお済ませください。
  • ワラウと同じパスワードや秘密の質問の答えを他のサービスでもお使いの場合は、そちらも変更をお願いいたします。
  • 振込先としてご登録の口座やポイント交換先に、身に覚えのない取引がないかご確認ください。
  • 弊社やワラウ、金融機関などを名乗るメールや電話などにご注意ください。ご自身が実際にご利用されたサービスの名前が書かれていても、パスワードや口座番号などの入力を求める案内には応じず、公式サイトや正規の窓口でご確認ください。
  • PC版ログインでYahoo! JAPAN ID連携をご利用の方は、お手数をおかけしますが、次回ログイン時に再度連携のお手続きをお願いいたします。


6. お問い合わせ窓口


本件についてご不明な点やご不安なことがございましたら、下記までお問い合わせください。

お問い合わせ窓口 https://ssl.warau.jp/help/inquiry/
受付時間（月～金曜日 10:00～18:00）

不正アクセスによる個人情報に関するお詫びとご報告（第二報）

このたび、弊社が運営するポイントサイト「ワラウ」において、2026年10月4日に第三者による不正アクセスが発生しました。

10月8日には、PC版ログインおよび旧Tポイント交換で使用していたYahoo! JAPAN ID連携の情報（連携トークン）についてお知らせしております。10月8日のお知らせでは、「お名前、メールアドレス、パスワード、ポイント、口座情報などは流出していない」とお伝えしておりました。
その後の調査で、会員様の情報も第三者に取得された可能性があることが判明しました。また、Yahoo! JAPAN ID連携のトークンの一部には、攻撃の時点で有効期限内のものが含まれていました。10月8日のお知らせは誤りでしたので、本報告をもって訂正し、深くお詫び申し上げます。

10月8日のお知らせは、当時把握していた攻撃の通信元と、データベースに残っていた記録をもとに判断したものでした。その後、攻撃に使われた別の通信元が新たに見つかったため、調査の範囲を広げ、データベースの記録には残らない通信も含めてサーバーのアクセス記録を詳しく分析しました。その結果、上記の情報が取得された可能性があることが判明しました。

原因は、サイトの一部の入力欄にあった脆弱性です。この脆弱性を修正し、サイト全体の点検と追加のセキュリティ対策を行ったうえで、10月15日にサービスを再開いたしました。

また、本件については外部の専門機関に調査を依頼しました。調査の結果と再発防止策につきましては、まとまり次第あらためてご報告申し上げます。

会員の皆様をはじめ、関係者の皆様には多大なるご心配とご迷惑をおかけしておりますことを、心より深くお詫び申し上げます。


1. これまでの対応


  • 10月4日：弊社サーバーへの不正アクセスを検知。同日中に侵入経路を遮断し、被害の拡大を防ぐ措置を講じました
  • 10月6日：Yahoo! JAPAN ID連携の情報が取得されたことを確認。手口と原因箇所を特定し、修正を完了。あわせて念のため、全会員様のログイン状態と自動ログイン、PC版のYahoo! JAPAN ID連携を弊社側で解除しております
  • 10月8日：個人情報保護委員会へ速報を提出し、弊社サイトにてお知らせを掲載
  • 10月9日：警察庁へサイバー事案として通報し、一般財団法人日本情報経済社会推進協会（JIPDEC）へ報告。同日18時からは、連休中の会員様のポイントをお守りするため、ポイント交換の受付を一時停止しております
  • 10月9日夜：弊社サーバーへの新たな不正アクセスを検知。翌10日未明、安全が確認できるまでの間、調査と安全確保に万全を期すため、ワラウのすべてのサービスを一時停止
  • 10月10日〜14日：サービス停止中に、追加のセキュリティ対策（サイト全体の点検と脆弱性の修正、パスワードの保管方式の強化など）を実施
  • 10月11日：攻撃に使われた別の通信元が新たに見つかったため、会員情報にも影響が及んでいる可能性を視野に入れ、サーバーの記録の詳しい分析を開始
  • 10月12日〜14日：取得された可能性がある情報の範囲の特定を進め、現時点で判明している範囲を確認
  • 10月14日：10月5日から10日までのサーバーの記録を分析し、現時点で情報が取得された形跡は確認されていません
  • 10月14日：外部の専門機関へ調査を依頼
  • 10月15日：安全を確認したうえでサービスを再開。全会員様のパスワードと秘密の質問をリセットし、再設定をお願いしております。ポイント交換は、10月19日から順次再開いたします


2. 取得が確認されている情報


  • Yahoo! JAPAN ID連携用のトークン

大半は有効期限切れでしたが、攻撃時点では一部に有効期限内のものが含まれていました。これらを含め、10月6日に弊社側ですべて無効化しております。
※Yahoo! JAPAN ID連携用のトークンは、Yahoo! JAPAN IDやパスワードそのものではありません。


3. 取得された可能性がある情報


サーバーの記録を分析した結果、次の情報について取得された可能性があると判断しております。

  • 会員様のご登録情報（お名前、生年月日、性別、メールアドレスなど）
  • ログインに関する情報（ハッシュ化したパスワード、秘密の質問と答え、ログイン履歴など）
  • ポイントに関する情報（ポイントを獲得されたサービスなどの履歴、ポイント交換先の会員番号など）
  • 振込先口座の情報（金融機関名、支店、口座番号、口座名義）

※ご退会された会員様、会員登録のお手続き途中の方の情報も一部含まれます。
※このほか一部の情報は、引き続き調査しております。

現時点で、本件による不正なポイント交換や金銭的な被害は確認されておりません。なお、10月9日の不正アクセスを含め、10月5日以降の不正アクセスにより情報が取得された形跡は、現時点で確認されておりません。


4. 再発防止に向けた取り組み


原因となった箇所の修正に加え、サイト全体の点検と脆弱性の修正を10月14日に完了しております。あわせて、次の対策に取り組んでいます。

  • ログイン状態と自動ログインの無効化
  • パスワードのリセットと保管方式の強化
  • 秘密の質問と答えのリセットと保管方式の強化、質問項目の見直し
  • パスワードや秘密の質問を再設定された後の一定期間のポイント交換の制限
  • ポイントを受け取る交換先のアカウントが変更された際の、ご本人確認の強化
  • メールアドレス変更時の本人確認
  • 外部サービスとの連携や、暗号化に使用する鍵の更新
  • データベースのアクセス権限の見直しと、不正なアクセスを検知する仕組みの強化
  • 弊社で保有する個人情報の最小化
  • 第三者による脆弱性診断の実施

外部の専門機関による調査の結果も踏まえ、再発防止策をあらためてご報告申し上げます。


5. 会員の皆様へのお願い


皆様の大切な情報とポイントをお守りするため、お手数をおかけしますが、次の点についてご協力をお願い申し上げます。

  • ワラウのパスワードと秘密の質問を再設定してください。再設定後の一定期間は、安全のためポイント交換を制限しております。交換のご予定がある方は、お早めに再設定をお済ませください。
  • ワラウと同じパスワードや秘密の質問の答えを他のサービスでもお使いの場合は、そちらも変更をお願いいたします。
  • 振込先としてご登録の口座やポイント交換先に、身に覚えのない取引がないかご確認ください。
  • 弊社やワラウ、金融機関などを名乗るメールや電話などにご注意ください。ご自身が実際にご利用されたサービスの名前が書かれていても、パスワードや口座番号などの入力を求める案内には応じず、公式サイトや正規の窓口でご確認ください。
  • PC版ログインでYahoo! JAPAN ID連携をご利用の方は、お手数をおかけしますが、次回ログイン時に再度連携のお手続きをお願いいたします。


6. お問い合わせ窓口


本件についてご不明な点やご不安なことがございましたら、下記までお問い合わせください。

お問い合わせ窓口 https://ssl.warau.jp/help/inquiry/
受付時間（月～金曜日 10:00～18:00）