マッチングアプリ「Omiai」、会員の氏名や顔写真なども漏洩…3週間も公表せず

　インターネット上で恋人や結婚相手を見つけるマッチングアプリ「Omiai（オミアイ）」を運営するネットマーケティング（東証1部上場）は5月21日、会員情報を管理するサーバーが不正アクセスを受け、171万1756件の個人情報が流出したと発表した。

　外部に流出した可能性があるのは2018年1月31日～2021年4月20日に会員が年齢確認のためにアップロードした運転免許証、健康保険証、パスポート、マイナンバーカードなどの画像データ。約6割が運転免許証だという。

　暗号化はしていなかった。会員のトラブルが後々、判明した場合に備え、退会後も10年間は画像データを保存しておく規定になっているといい、すでに退会した人のデータも被害に含まれていた。

　4月20日から26日にかけて数回にわたって画像データが外部に流出した可能性が高い。ネットマーケティングが不正アクセスの痕跡を確認したのは4月28日15時ごろで、事実の公表まで3週間以上の時間が空費された。

　Omiaiから漏洩した情報は氏名・住所・生年月日・顔写真・年齢確認書類毎の登録番号の5種。マッチングアプリという性質上、個人情報が流出した場合の被害は金銭的なものだけにはとどまらない。マッチングアプリで恋活や婚活をしていることは、知られたくないプライベートな情報だ。それが流出したわけで極めて深刻だ。

　マッチングアプリという特性上、ユーザーのアカウントをフェイスブックにひもづけすることで信頼性を担保している。今回の流出で、利用者の交友関係や勤務先、出身校を容易にたどることができると、「ストーカーなどに悪用される恐れが十分にある」と専門家は指摘している。

累積会員数702万人の約4分の1の個人情報が流出

　Omiaiは国内屈指の規模を誇るマッチングアプリ。サービス開始は2012年。業界の中でも最古参の部類に入る。アプリ上で相手を探し「いいね！」を送信して、お互い気に入りマッチングすればメッセージ交換が可能になる。基本的に女性は無料。男性はメッセージ交換などを行うために月額3980円の有料会員になる必要がある。これがOmiaiの収入源となっている。

　毎月12～14万人程度の新規会員があり、2021年5月末時点の累計会員数は702万人（20年5月末は550万人）、累計マッチング組数は6807万組（同4810万組）と急成長を遂げた。累計会員数の約24％の個人情報が流出したことになる。

　ネットマーケティングの2021年6月期の決算（個別）の売上高は144億円（20年6月期比0.03％増）、営業利益は4億円（同45.6％減）、純利益は2億7000万円（同47.0％減）の見込み。これは個人情報流出が判明する前の数字である。

　Omiaiの個人情報流出の発表を受け、5月24日の東京株式市場ではネットマーケティング株に売りが殺到。前週末比100円（19.3％）安の417円の売り気配で終えた。翌25日には前日比13円（3％）安の404円の安値をつけた。その後も下げ続け、6月2日、上場来安値の376円まで下落し、400円台前半の値動きを続けている。Omiaiに関していえば、情報管理体制の不備を受け、会員の脱会が増えたり、新規入会の伸びが鈍化することが懸念され、運営企業の売りが膨らんだ。

　焦点は損害賠償請求がどのくらいになるか、という点だ。個人情報の流出によりプライバシーが侵害された。Omiaiには個人情報保護法第20条の規定により、個人データの漏洩防止等を図る義務がある。この義務に違反し個人情報を流出させたのであれば不作為が成立する。

　一般的な個人情報流出の損害賠償は1人1万円程度。Omiaiの場合はそれ自体を知られたくないマッチングアプリの利用者という特性があり、プライバシーの侵害の程度は大きくなる。

メルカリも情報流出

　フリマアプリのメルカリは、13年から18年までに約2万8000件の顧客情報が流出したと発表した。利用していた米コードコブの計測ツールが不正アクセスを受けたためとしている。流出した情報の内訳はフリマアプリ、「メルカリ」の売上金を振り込んだユーザーの口座の銀行コード、支店コード、口座番号、口座名義人、振込金額などが1万7085件。カスタマサービスを受けたユーザーの住所、氏名、メールアドレス、電話番号、問い合わせた内容が217件、13年5月に実施したイベントに参加した人の氏名、年齢、性別、メールアドレス6件などとなっている。

　メルカリは流出した認証情報を初期化し、コードコブのツールの利用を中止した。また、情報が流出したユーザー向けの問い合わせ窓口を設置した。被害はキャッシュレス決済サービス、メルペイの加盟店情報（7925件）、メルカリとメルペイの取引先情報（41件）、関連会社に所属する従業員の氏名、メールアドレス、電話番号など（2615件）に及び、ソースコード共有サイト「GitHub（ギットハブ）」の認証情報なども含めて被害の合計は2万8000件に達したという。

　メルカリでは今後、外部の専門家の協力を得て、原因を精査し、セキュリティの強化策を検討する。

（文＝編集部）