家族アルバム「Famm」運営サーバから個人情報引き出しが判明

株式会社TIMERSは12月23日、同社が運営するスマートフォンアプリ「Famm」のサーバに第三者からの不正アクセスがありユーザー情報が不正に引き出されたことが判明したと発表した。スマートフォンアプリ「Famm」は、家族で写真や動画を共有する家族アルバム。

これは12月18日に、外部からインシデント懸念の旨の連絡があり調査を行ったところ、不正アクセスにより10月9日に個人情報が引き出された事実とその攻撃手段を確認したというもの。

なお同社によると、10月11日にクラウド関連会社から不正アクセス疑いの警告が、11月16日にユーザーからセキュリティ事象について問い合わせがあり、その際にFammアプリのサーバのセキュリティに関連し、クラウドおよびセキュリティ関連会社へのヒアリングのもと、不正な情報引き出しの形跡がないかの調査と調査内容のレビューを実施、更なるセキュリティ対策を行っていたが、10月、11月に実施した2度の調査では、不正アクセスは一部確認されたが不正な情報引き出しが行われた形跡は確認できなかった。

不正に引き出されたデータは、2020年10月9日までにスマートフォンアプリ「Famm」を利用した最大143万件のユーザーのテーブルが対象で、そのうちアプリにユーザが登録した最大535,015件のメールアドレス、最大535,015件の暗号化されたパスワード、最大243,617件の氏名、最大185,073件のアカウント表示名、最大235,970件の生年月日、最大102,763件のユーザーが登録したユーザーアイコン画像URL等。なお、アプリに登録されている住所や子どもの誕生日、家族アルバム機能に保存している写真や動画などのデータは対象外。

同社では対象のユーザーに、メールとアプリ内のお知らせにて連絡を行っている。

同社では12月21日に、警察関係者への情報提供と独立行政法人情報処理推進機構（IPA）の届出・報告、12月22日に個人情報保護委員会への報告を実施済み。

同社では、不正アクセスの原因となったセキュリティリスクについては10月、11月に実施した調査の際に行ったセキュリティ対策で実施済みで、現時点で今回の攻撃手段の経路特定と遮断は完了しており、今回の攻撃手段以外のセキュリティ強化も実施済み。今後は、セキュリティ専門会社による詳細調査と更なるリスクがないかの追加調査を行い、セキュリティ対策強化を実施する。