メルカリ社のソースコードから顧客情報など約2万8千件流出か

フリマアプリ「mercari（メルカリ）」で知られる株式会社メルカリは2021年5月21日、米国Codecov社が提供し、メルカリ社が利用しているコードカバレッジツール「Codecov」が外部からのサイバー攻撃を受けたことにより、同社サービス利用者の銀行口座情報や問い合わせ情報など合計2万7,889件が流出したと明らかにしました。

メルカリ社によるとCodecov社は2021年4月15日、「Codecov」への不正アクセスおよびユーザーの認証情報への流出リスクを発表。同社においては、ソースコード共有サイト「GitHub（ギットハブ）」に保管されていたコード情報に流出リスクが判明したとのこと。

同社がログ調査を進めたところ、何者かがメルカリ社ソースコード上に記録されている個人情報へアクセスしていた形跡が見つかりました。ただし、不正アクセス判明後も同社へのサイバー攻撃は継続していたため、同社は対策を実施してから、事実の公表に踏み切ったとしています。

1次対策は完了、セキュリティ強化へ

株式会社メルカリによると、同社は記事発表時点で追加被害を防止するための対策および影響範囲の一次調査を終えています。

これによると、同社ソースコードには「メルカリ」の部顧客情報や「メルカリ」「メルペイ」の取引先情報および、同社に所属していた一部従業員情報が含まれていたとのこと。

今後は、問い合わせ窓口を設置し流出対象者らの質問などに対応するほか、セキュリティ専門家の知見を踏まえた不正アクセス防止への強化策を実施するとしています。

なお、今回の不正アクセスにより流出した可能性のある情報は次の通りです。

「メルカリ」顧客口座への振込みに関連した情報	2013年8月5日〜2014年1月20日	17,085件	銀行コード、支店コード、口座番号、口座名義人（カナ）、振込金額
「メルカリ」カスタマーサービス対応に関連した情報	2015年11月〜2018年1月	217件	氏名、住所、Eメールアドレス、電話番号、お問い合わせ内容
「メルカリ」イベントに関連した情報	2013年5月	6件	氏名、年齢、性別、Eメールアドレス
「メルペイ」加盟店情報		7,925件	個人事業主名
「メルカリ」「メルペイ」取引先等に関する情報		41件	氏名、生年月日、所属、Eメールアドレス等
子会社を含む一部従業員に関する情報	2021年4月時点	2,615件	氏名、会社Eメールアドレス、従業員ID、電話番号、生年月日等 ※過去の在籍者や一部外部委託先含む