発車オーライネットで予約情報流出―外部連携APIサーバーに不正アクセス

高速バス予約サイト「発車オーライネット」を運営する工房は10月15日、外部取引先との連携用APIサーバーへの不正アクセスを公表しました。16日に国内で報じられた事案で、予約情報の一部が外部に流出した痕跡を確認しています。対象の最大件数は8,341件で、最終確認中です。

不審なアクセスがあったのは9月16〜19日で、検知は10月13日でした。対象は乗車日が7月16日〜11月29日の一部の予約です。侵入が起きた期間と、流出した可能性がある予約の乗車期間は異なります。

情報にはカタカナの予約名、電話番号、乗車日・路線・予約番号などが含まれます。工房によると、カード情報、銀行口座、住所、メールアドレス、パスワードは対象サーバーに保存していません。中国バスも15日、同社に関係する17件の予約が対象となる可能性を案内しました。

工房は検知後に通信を遮断し、対策後は不正アクセスの継続や被害拡大がないと説明しています。APIのどの処理が侵入を許したかは公表資料に記載されていません。利用者には不審なSMS・電話への注意を呼びかけ、同社やバス会社がSMSなどで暗証番号やカード情報を尋ねることはないとしています。