オズモールに不正アクセス、メールアドレス45万件近くが流出したのか。スターツ出版の発表内容を確かめる

まず初めに

「45万人近くの個人情報が海外に流出」と聞くと大惨事の見出しだが、中身を覗くと漏れたのは大半が「メールアドレスだけ」。クレジットカード番号は最初から金庫が別会社(決済代行)にあったおかげで無傷、詳しい住所や電話番号も泥棒の手が届かなかったというから、家に忍び込まれた割には被害は玄関の郵便受けまでで済んだような話だ。とはいえ、メールアドレスに氏名・住所(県まで)までセットで漏れてしまった人にとっては、これから届く「オズモールを名乗る」怪しいメールを一段と疑ってかかる理由が増えたことに変わりはない。※個人の感想です

何が起きているのか

スターツ出版によると、2026年9月26日、同社のシステム部門がオズモールへの海外からの大量の不正アクセスを検知しました。同社は該当ページへのアクセスを一時的に停止し、原因を特定したうえでシステムを修正して不正アクセスを遮断したとしています。

その後の調査で、第三者による不正アクセスにより、会員のメールアドレス最大44万7,610件が外部に漏えいした可能性があることが判明しました。あわせて、一部の会員については氏名と住所(都道府県まで)も閲覧された可能性があるとしています。一方で、電話番号や番地を含む詳しい住所など、その他の会員情報が閲覧された形跡は、現時点の調査では確認されていないとしています。

決済に使うクレジットカード情報については、オズモールが外部の決済システムを利用しているため、そもそも自社サーバー内に保持しておらず、漏えいの可能性はないとしています。また、不正アクセスによるプログラムの改ざんなど、サイトの機能自体への不正な変更も確認されていないとし、サービスは既に通常どおり再開されています。

スターツ出版は2026年9月27日、公式に本件を公表しました。引き続き調査を進め、新たに分かったことがあれば改めて公表するとしています。

なぜ重要なのか

オズモールは、レストランやホテルの予約機能を備えた女性向けの情報サイトで、長年にわたり幅広い利用者を抱えてきました。今回のように会員数の多い生活情報サイトで不正アクセスが起きると、影響を受ける人数が数十万人規模に膨らみやすく、その分フィッシングメールなど二次被害につながるリスクの母数も大きくなります。

特に、メールアドレスに加えて氏名・居住都道府県まで漏れた会員については、実在するサービス名(オズモール)と実在する個人情報を組み合わせた、より本物らしいフィッシングメールが作成されやすくなる点に注意が必要です。攻撃者は「オズモールをかたる」だけでなく、住んでいる地域に合わせた内容(地域限定キャンペーンなど)を装うことも技術的には可能になります。

私たちへの影響

今回漏えいした可能性がある情報は、クレジットカード番号や電話番号、詳しい住所ではなく、主にメールアドレスと、一部会員の氏名・都道府県です。これらの情報だけで直接金銭的な被害につながる可能性は高くありませんが、フィッシングメールやなりすましメールの材料として悪用されるリスクはあります。

オズモールの会員は、スターツ出版から届く正規の連絡と、それを装った不審なメールを見分ける必要があります。特に、メールに記載されたリンクを安易にクリックしてID・パスワードやクレジットカード情報を入力しないこと、公式サイトのブックマークやアプリから直接ログインする習慣をつけることが有効です。

初心者が知っておくべきこと

不正アクセスふせいあくせすとは、本来アクセスする権限を持たない第三者が、脆弱性(セキュリティ上の欠陥)を突くなどの方法でシステムに侵入する行為を指します。侵入された側の意図に関わらず、外部からの攻撃によって情報が持ち出されてしまうことがあります。

こうした事案が起きた際、利用者側でまず確認すべきなのは「何が漏れた可能性があるか」です。パスワードやクレジットカード番号のような、悪用されると直接的な被害につながりやすい情報なのか、それともメールアドレスのように、それ単体では被害につながりにくいが迷惑メールの起点になりうる情報なのかによって、取るべき対応の緊急度が変わってきます。今回はパスワードのハッシュ値(暗号化された文字列)自体の漏えいには言及がないため、オズモールのパスワードを変更する必要性は現時点で確認された情報からは高くありませんが、他のサービスで同じメールアドレスとパスワードを使い回している場合は、この機会に見直すとよいでしょう。

よくある質問

Q. オズモールは今も利用できないのですか。 A. いいえ。スターツ出版は原因を特定してシステムを修正したうえで不正アクセスを遮断しており、サービスは既に通常どおり再開されています。

Q. クレジットカード情報は漏れていませんか。 A. スターツ出版の発表によると、決済には外部の決済システムを利用しており、クレジットカード情報を自社では保持していないため、漏えいの可能性はないとしています。

IT Postの見方――「クレカは無事」で終わらせていい話ではない

IT Postでは、クレジットカード情報を自社で保持しない設計にしていたことで被害が限定的になった点は評価します。ただし、45万人近くのメールアドレスが海外に流出した事実そのものが軽い話だとは考えません。メールアドレスは、氏名や住所と組み合わさった瞬間に「本人らしさ」を演出するフィッシング詐欺の材料に化けるからです。「クレカは無事でした」という発表の安心感に乗じて、利用者側の警戒レベルまで下げてしまうことのないよう、IT Postでは、こうした事案が起きるたびに「何が漏れなかったか」ではなく「漏れたものは今後どう悪用されうるか」という視点で報じていきたいと考えます。※個人の感想です

今後どうなりそうか

スターツ出版は引き続き調査を進めており、新たな事実が判明した場合は改めて公表するとしています。原因となった脆弱性の詳細や、監督省庁への報告状況などについては、現時点で確認できた出典の範囲では明らかになっていません。IT Postでは、続報があれば改めて取り上げます。