WEVERSE JAPAN株式会社は9月6日、一部顧客の個人情報流出について発表した。
これは9月3日に、韓国インターネット振興院（KISA）より外部の報告者からWeverseサービスのセキュリティ脆弱性に関する指摘があった旨の連絡があり、社内点検を実施した結果、一部顧客の個人情報が流出した事実を確認したというもの。
流出したのは、アカウントID単位基準で422,584件で項目は下記の通り。
個人情報項目：内部識別情報（ユーザー登録時に社内でユーザーを識別するために生成される内部番号）
一般情報項目（個人情報に該当しない）：購入タイプ（決済手段）、決済代行会社（PG）名、通貨単位（例：KRW）、購入金額、取消金額、購入日時、購入状態（例：COMPLETE）、返金日時（購入状態がCANCELEDの場合）
同社では対象の顧客に、個別に流出の事実を案内する手続きを進めている。
同社では、追加措置の一環として、決済情報処理APIに対するアクセス制御を強化し、内部識別情報を除去することで、外部に情報が露出しないようセキュリティを強化している。
同社では9月4日に、KISAに点検結果および対応状況を含む侵害事故の報告を行っている。
また同社では、不正な攻撃によって個人情報へ不法にアクセスした外部の行為者に対し、該当する個人情報の回収を要請しており、今回の被害事実については、告訴手続きを進める予定。
同社では今後、外部に露出しているすべてのAPIに対する全数調査を行い、アクセス制御の強化と露出情報の最小化を進めるとともに、配信プロセスにおける統制とセキュリティモニタリングの検出感度を強化するとのこと。
