アザス・するーぷ約6万件の情報漏えい、漏れたメールアドレスと生年月日で何をされるのかまとめました

2026年9月18日、JGC Digital株式会社は、データの集計・分析に使っていたBIツール「Metabase」の脆弱性を悪用した不正アクセスを受け、お客様の情報の一部が取得されたと公表しました[1]。対象は、建設現場向けサービス「アザス」が約4万件、衣類回収サービス「するーぷ」が約2万件のアカウントです。パスワードは同社のシステムで管理していないため漏えいはないとしていますが、それで安心とは言い切れません。

「自分のメールアドレスや生年月日で、これから何をされるのか」。「会社として、どこから手を打てばよいのか」。この記事では、その2つに答えるために、漏れた情報が悪用されうる場面と、2つのサービスの中で狙われやすくなった場所を、公開情報から整理しました。事故の経緯は報道でも扱われているため、短くとどめます。

この記事の要点

• 漏れた項目にメールアドレスが入っています。「アザスポイント」「するーぷのポイント」を口実にした、名前や所属入りの偽メールに注意が要ります。
• 利用者がまずやるとよいのは、届いたメールのリンクからではなく、アプリや公式サイトを自分で開いて確かめることです。
• 会社側がまず見直したいのは、メールで届くログイン情報やリンクに頼っている所と、社内ツールそのもののログインです。

なお、本記事は公表文や公式サイト、アプリストアの説明など、公開情報だけをもとにしています。ログイン画面を実際に試すような調査はしていません。確認できなかった点は「確認できず」と書いています。

何が起きたか（要約）

公表文[1][2][3]によると、概要は次のとおりです。

同社は、対象者には登録のメールアドレスあてに順次個別の連絡をするとしています。あわせて、同社を装う不審なメールや電話に注意するよう呼びかけ、メールや電話でパスワードや決済情報を尋ねることはないとしています[1]。

漏れた情報で、何ができてしまうか

今回の特徴は、メールアドレスに「その人らしさ」が付いて出たことです。アザスでは氏名と所属・元請企業・プロジェクト名、するーぷでは郵便番号や職業、子供の有無まで並んでいます。

パスワードが含まれていない点は、不幸中の幸いです。ただ、メールアドレスが知られた以上、「メールに届いたリンクやコードを信じる」こと自体が狙われます。本物の個別連絡もメールで届くため[1]、偽の連絡と見分けるのは簡単ではありません。

この2つのサービスで認証が使われる場所

公式サイトとアプリストアの説明から、認証が関わる場所を並べました。

※「狙われやすさ」は、公開情報をもとにした当社の見立てです。実際のしくみを確かめたものではありません。

会社がまず見直すとよい所（優先順）

公表文では、Metabaseの利用終了と安全な環境への移行、利用ポリシーの厳格化が挙げられています[1]。一方で、利用者のログインや本人確認の方法を変えるといった記載はありませんでした。認証の観点からは、次の順で見直すことが考えられます。

1. メールで届くログイン情報やリンクに頼っている所を洗い出す。アザスの監督の初回ログインのように、メールが入口になっている場所は、偽メールと同じ道を通ります。メール以外で「本人が持っている物」を確かめる手段を足せないか検討できます。
2. 電話やメールの窓口の本人確認から、今回の情報を外す。「メールアドレス・生年月日・郵便番号が合えば本人」という扱いになっていないか、運用の見直しから始められます。
3. 顧客データに触れる社内ツールのログインを、社員の側でも強める。今回の入口は脆弱性とされていますが、分析用のツールは多くのデータをまとめて見られる場所です。誰がどこから入れるのかを、改めて確かめる価値があります。

あわせて、個別連絡のメールに何が書かれ、何が書かれないのか（リンクを付けるか、何を尋ねないか）を先に伝えておくと、偽の連絡との見分けを助けられます。

認証の観点から：「メールが届く」と「その電話を持っている」は違う

今回はパスワードが漏れていません。それでも安心しきれないのは、メールアドレスが知られたことで、「メールに届いたものを信じる」確かめ方が偽メールと同じ道に乗ってしまうからです。

一方で、今回の漏れた項目に電話番号は含まれていません。「その電話番号の回線を実際に持っているか」は、メールアドレスや生年月日を知っていても代わりがききません。認証の土台を「知っているか」「メールが届くか」から「持っているか」へ移すことが、漏えいの後にこそ効いてくる対策です。

SMSで届くワンタイムパスワードも、「持っているか」を確かめる方式の一つです。ただし米国NISTのガイドラインは、SMSなど電話網を使う確認方法を「制限付き（restricted）」の手段と位置づけています[7]。禁止ではありませんが、それだけに頼りきらない設計が求められています。

当社Infront Securityの電話番号認証は、利用者がワンタップで指定の番号に発信し、その発信者番号と端末の情報をサーバー側で照合して本人を確かめます。電話番号を知っていても、その回線から発信できなければ認証は通りません。偽サイトは利用者の電話回線を持っていないため、フィッシングに耐性のある方式です。

環境の移行に合わせて、ログインの確かめ方も見直す方法については、お気軽にご相談ください。

お問い合わせはこちら