『バンドリ！アワーノーツ』でCBT応募者とサポート利用者の個人情報が漏えい、対象は合計1万3304名

CBTに応募しただけの人と、配信後にサポートへ問い合わせた人とでは、外へ出た情報の中身がかなり違うにゃ。

ブシロードは10月27日、スマートフォン向けリズムゲーム『バンドリ！アワーノーツ』の開発を任せている委託先のシステムに第三者が不正アクセスし、個人情報が漏れたと発表した（ブシロードのお知らせ）。対象は、6月に行ったクローズドβテスト（CBT）の関係者と、9月24日の配信開始から10月14日までにカスタマーサポートへ問い合わせた人。人数を合計すると13,304名になる。

漏れた項目は、対象者ごとに異なる

「電話番号や住所まで漏れた」と聞くと全員が当てはまりそうに思えるけれど、お知らせの内訳を見るとそうではないんだよ。CBTに応募したお客さん1万194名については、出たのはメールアドレス・IPアドレス・応募日時・端末の種類（iOSかAndroidか）まで。氏名や住所、電話番号、パスワード、クレジットカード情報が漏れたことは確認されていないと書かれている。

氏名・電話番号・住所が含まれていたのは、サポートへの問い合わせのうち、本文などにそれらを書いていたものだけ。件数は下の表のとおりで、問い合わせ3,034名のうち住所・郵便番号は6件、電話番号は11件だった。

アンケートは回答全体が漏れたわけではない。個人情報を含んでいた回答が5件だけあり、その5名分が対象として数えられている。

サポートの期間は、ゲームの配信が始まった9月24日の午後から始まっているのが目を引く。事前ダウンロードを経て始まったリリース直後の約3週間に寄せられた問い合わせが、まるごと対象に入った形だね。

プレイヤーIDだけでは乗っ取れない、とブシロードは説明する

サポート経由で漏れた情報のうち、件数が最も多いのは端末情報とプレイヤーID。これについてブシロードは、プレイヤーIDだけで第三者がゲームアカウントへ不正にログインしたり、乗っ取ってデータを書き換えたりすることはできないと説明している。

原因については、委託先の管理上の不備によって、CBTのデータとサポートの問い合わせデータを保管していた環境に不正アクセスされたとみられる、という書き方にとどまっている。委託先の社名は出ていない。不備はすでに直してあり、今回の環境以外への不正アクセスや二次被害は今のところ見つかっていないそうだ。

対象者には、ブシロードから個別に順次連絡が届く。同時に、ブシロードや『アワーノーツ』を名乗る不審なメールやSMSが届く恐れがあるとして、次の点を呼びかけている。

• 心当たりのないメール・SMSのリンクや添付ファイルは開かない
• ブシロードがメールやSMSでパスワード、クレジットカード情報、金融機関の暗証番号を聞くことはない
• 金銭の支払いを直接求めることもない

今後については、委託先のセキュリティ管理体制を総点検させるとともに、グループ全体で情報セキュリティを強めていく方針。新しい事実が分かれば速やかに公表するとしていて、この件の問い合わせはブシロードのお問い合わせフォームで受け付けている。

CBT応募者として連絡が届くのは1万人を超えるけれど、住所まで外に出たのは6件だった。