ワラウの情報漏洩の可能性｜第二報で訂正 登録情報・振込先口座・秘密の質問の答えなど ポイントサイトの会員がすること 2026

ワラウの情報漏洩の可能性について、ポイントサイト「ワラウ」を運営する株式会社オープンスマイルは、2026年10月4日に第三者による不正アクセスがあり、会員の登録情報、ハッシュ化したパスワードと秘密の質問の答え、ポイントの履歴、振込先口座の情報が取得された可能性があると、第二報で発表しました。10月8日のお知らせで「お名前、メールアドレス、パスワード、ポイント、口座情報などは流出していない」と伝えた内容は誤りだったとして、訂正しています。件数は発表されていません。 会員がまずすることは、ワラウのパスワードと秘密の質問の答えを再設定し、同じものを使っている他社サービス（特にお金を扱うもの）も変えることです。現金への交換で振込先口座を入力したことがある人は、2026年10月4日以降の口座の入出金や引き落としに身に覚えのない取引がないかを確かめてください。 ワラウや金融機関を名乗って暗証番号や口座番号を聞いてくる連絡には応じず、ブックマークや検索から公式サイトを開いて確かめます。

この記事は、2026年11月4日時点でオープンスマイルの「不正アクセスによる個人情報に関するお詫びとご報告（第二報）」と、ワラウのヘルプセンターの「【重要】不正アクセスに関するご質問」（最終更新 2026年10月30日）を開き直し、その記載だけをもとに書いています。報道に出ている数字や推測は入れていません。

ワラウの第二報で何が分かったのか

ワラウは、アンケートへの回答、広告の利用、ゲームなどでポイントを貯め、現金や電子マネー、他社のポイントに交換できるポイントサイトです。運営会社は株式会社オープンスマイルです。今回の件は、そのワラウのサーバーが2026年10月4日に第三者の不正アクセスを受けたことから始まっています。

第二報の骨子を整理すると、次のとおりです。

• 2026年10月4日に、ワラウのサーバーへの不正アクセスが発生した
• Yahoo! JAPAN ID連携用のトークンが取得された（10月6日にすべて無効化）
• その後の調査で、会員の登録情報、ログイン関連の情報、ポイント関連の情報、振込先口座の情報が取得された可能性があると分かった
• 原因は、サイトの一部の入力欄にあった脆弱性
• 脆弱性を直し、サイト全体の点検と追加の対策を行ったうえで、10月15日にサービスを再開した
• 現時点で、不正なポイント交換や金銭的な被害は確認されていない
• 外部の専門機関に調査を依頼しており、結果と再発防止策は、まとまり次第あらためて報告する

ここで大事なのは、言葉の使い分けです。会社は、Yahoo! JAPAN ID連携用のトークンについては「取得された情報」、それ以外の会員情報については「取得された可能性がある情報」と書き分けています。この記事でも、会員情報については「取得された可能性」として扱います。全員の情報が確実に抜き取られたと分かったわけではなく、サーバーの記録の分析から、その範囲に影響が及んだ可能性があると会社が判断した段階です。

件数（何人分が対象か）は、第二報にもヘルプの質問集にも書かれていません。対象となる項目も、会員ごとの登録内容や利用状況によって違うとされています。たとえば振込先口座の情報は、現金への交換のために口座を入力したことがある会員だけが対象です。

なお、ページの末尾には、2026年10月19日と10月27日に記載を追加・修正したと書かれています。10月27日の更新では「これまでの対応」「対象となる情報」「再発防止に向けた取り組み」「会員の皆様へのお願い」の4か所が直されています。以前に読んだ人も、いまの版で確かめ直す価値があります。

10月8日の「流出していない」はなぜ訂正されたのか

この件で多くの会員が戸惑ったのは、最初のお知らせと第二報で内容が大きく変わったことです。10月8日のお知らせは、PC版ログインと旧Tポイント交換で使っていたYahoo! JAPAN ID連携用のトークンについてのもので、「お名前、メールアドレス、パスワード、ポイント、口座情報などは流出していない」と伝えていました。

第二報によると、この判断は、当時把握していた攻撃の通信元と、データベースに残っていた記録をもとにしたものでした。その後、攻撃に使われた別の通信元が新たに見つかったため、調査の範囲を広げ、データベースの記録には残らない通信も含めてサーバーのアクセス記録を詳しく分析しました。その結果、会員の情報も取得された可能性があると分かった、という流れです。

もう1点、トークンについても訂正があります。10月8日の時点では触れられていなかった点として、トークンの大半は有効期限切れだったものの、攻撃の時点では一部に有効期限内のものが含まれていたと書かれています。

10月8日のお知らせは誤りでしたので、本報告をもって訂正し、深くお詫び申し上げます。 出典: 株式会社オープンスマイル「不正アクセスによる個人情報に関するお詫びとご報告（第二報）」

会員の側から見ると、10月8日の時点で「自分には関係ない」と判断して何もしなかった人も、いまは対応が必要になったということです。最初のお知らせだけを読んで安心した人ほど、第二報と質問集を読み直してください。

情報漏えいの発表では、最初の発表のあとに範囲が広がることは珍しくありません。初報は、その時点で分かっている範囲を早く知らせるためのもので、調査が進むと対象が変わることがあります。ワラウの質問集にも、調査で項目が変わった場合はあらためて連絡すると書かれています。続報が出たときに見落とさないよう、第二報のページを時々開いて、更新日の記載を確かめる習慣をつけておくと安心です。

公表の経緯（第二報の「これまでの対応」から）

第二報の「1. これまでの対応」に書かれた日付を、そのまま表にします。

日付	第二報に書かれていること
10月4日	サーバーへの不正アクセスを検知。同日中に侵入経路を遮断
10月6日	Yahoo! JAPAN ID連携用のトークンが取得されたことを確認。手口と原因箇所を特定し修正。すべての会員のログイン状態、自動ログイン、PC版のYahoo! JAPAN ID連携を解除
10月8日	個人情報保護委員会へ速報を提出し、サイトにお知らせを掲載
10月9日	警察庁へサイバー事案として通報し、日本情報経済社会推進協会（JIPDEC）へ報告。18時からポイント交換の受付を一時停止
10月9日夜	新たな不正アクセスの試みを検知。10日未明から、すべてのサービスを一時停止
10月10日から14日	サイト全体の点検と脆弱性の修正、パスワードと秘密の質問の答えの保管方式の強化などを実施
10月11日	攻撃に使われた別の通信元が見つかり、トークン以外の情報への影響も視野に、アクセス記録の詳しい分析を開始
10月12日から14日	取得された可能性がある情報の範囲の特定を進め、14日時点の範囲を確認
10月14日	10月5日から10日までのアクセス記録を分析。この期間に情報が取得された形跡は確認されていない。外部の専門機関への依頼を開始
10月15日	サービスを再開。すべての会員にパスワードと秘密の質問と答えの再設定を依頼
10月16日	個人情報保護委員会へ続報を提出。本件専用のよくある質問と問い合わせ窓口を開設
10月19日	不正アクセス検知の仕組みを強化し、ポイント交換を順次再開
10月20日	JIPDECへ続報を報告

表の中で会員にとって意味が大きいのは、10月14日の分析結果です。会社は、10月9日の不正アクセスの試みを含め、10月5日以降の不正アクセスで情報が取得された形跡は確認されていないとしています。取得された可能性がある情報は、不正アクセスがあった2026年10月4日時点の情報です。言い換えると、10月5日以降に登録したり書き換えたりした情報は、今回の範囲に入っていないというのが会社の説明です。

JIPDECとは、プライバシーマーク制度を運営している一般財団法人のことです。プライバシーマークを持つ事業者は、事故があったときにJIPDECへ報告する仕組みになっています。個人情報保護委員会は、個人情報の扱いを監督する国の機関です。会社はこの2か所と警察への報告を済ませたと書いています。

取得された情報と、取得された可能性がある情報

第二報の「2. 対象となる情報」と、ヘルプの質問集の内容をもとに、項目を表にします。

区分	項目（公式の表現）
取得された情報	Yahoo! JAPAN ID連携用のトークン（10月6日にすべて無効化。Yahoo! JAPAN IDやパスワードそのものではない）
取得された可能性がある情報（ご登録情報）	お名前、生年月日、性別、都道府県、郵便番号、メールアドレスなど
取得された可能性がある情報（ログイン関連）	ハッシュ化したパスワード、秘密の質問と答え、ログイン履歴など
取得された可能性がある情報（ポイント関連）	ポイント獲得履歴、ポイント交換履歴、交換先の会員番号など
取得された可能性がある情報（振込先口座）	金融機関、支店、口座番号、口座名義

一方で、会社が「預かっていない」「含まれていない」と明記しているものは次のとおりです。

含まれないと書かれているもの	公式の説明
他社サービスのパスワード	預かっていない
キャッシュカードの暗証番号	預かっていない
インターネットバンキングのパスワード	預かっていない
クレジットカード情報	現時点の調査では含まれていない（預かっていたのはワラウカードの情報のみ）

対象には、退会した人や、会員登録の手続きの途中だった人の情報も一部含まれます。質問集では、退会した会員の情報をトラブル対応や不正防止のために一定期間保持していたこと、その中には必要な期間を超えて保持していた情報も含まれていたことが説明されています。「もう退会したから関係ない」とは言い切れないということです。

項目の表に「など」が付いている点にも気をつけてください。会社は、上記以外の情報についても引き続き調査していると書いています。表に載っていない項目が、あとから加わる可能性は残っています。

ハッシュ化とは、パスワードを元に戻すのが難しい形の文字列に変えて保管する方法のことです。取得された可能性があるのはその変換後の文字列で、パスワードそのものではありません。ただし会社は、解読される可能性を完全には否定できないとして、再設定を求めています。簡単なパスワードほど、総当たりで元の文字列を探し当てられやすくなるためです。

原因と、会社が行った対策

原因について、第二報は「サイトの一部の入力欄にあった脆弱性です」と書いています。脆弱性とは、プログラムの作りの弱点のことで、本来は想定していない操作で中のデータを読み出せてしまうような欠陥を指します。どの入力欄で、どのような種類の弱点だったのかは、第二報には書かれていません。外部の専門機関の調査結果を待つ段階です。

会社が挙げている対策は、2つに分かれています。

サービス再開までに実施した対策は次のとおりです。

• ログイン状態と自動ログインの解除（再開後は、すべての会員に再ログインを依頼）
• 秘密の質問と答えのリセットと、質問項目の見直し
• パスワード、秘密の質問と答えの保管方式の強化と、再設定の必須化
• パスワードや秘密の質問と答えを再設定した後、24時間のポイント交換の制限
• メールアドレスを変更する際の本人確認

再発防止に向けて取り組んでいる対策は次のとおりです。

• 外部サービスとの連携に使う鍵の更新
• データベースのアクセス権限の見直しと、不正なアクセスを検知する仕組みの強化
• 会社が保有する個人情報の最小化
• 第三者による脆弱性診断の実施

会員が知っておきたいのは、再設定のあと24時間はポイントを交換できないという点です。これは、仮に第三者がパスワードを書き換えても、すぐにポイントを持ち出せないようにするための仕組みです。交換の予定がある人は、早めに再設定を済ませておくと困りません。

質問集によると、再設定にはご登録のメールアドレスでの本人確認が必要で、再設定を行うとご登録のメールアドレスにお知らせが届きます。身に覚えのない再設定のお知らせが届いたときは、誰かがアカウントを操作しようとしている合図になります。

補償やお詫びのポイントについては、2026年11月4日時点の第二報と質問集には記載がありません。この記事でも、補償があるかどうかは推測しません。情報漏えいのお詫びの一般的な形については、情報漏洩の補償はもらえるのか｜お詫び金・ポイントの例と利用者が確かめること 2026で、利用者が確かめることを整理しています。

自分が対象かを確かめる方法

会社は、対象となる会員に、会社が保持しているメールアドレスへ個別にお知らせを送るとしています。ただし、退会でメールアドレスを削除している場合や、メールアドレスを変更・解約した場合、受信の設定によっては、お知らせが届かないことがあります。その場合は、第二報のページのお知らせをもって案内とする、と書かれています。

質問集には、本物のお知らせメールの差出人が明記されています。

• 差出人のメールアドレスは「[email protected]」
• 差出人の名前が「ワラウ」でも、アドレスが違えばワラウからのメールではない
• スマートフォンでは差出人の名前だけが表示されることがあるので、名前をタップしてアドレスを確かめる
• 「@」の後ろが「mta.warau.jp」と完全に一致するかを見る。「mta-warau.jp」のように一部だけ似たアドレスに注意する
• ワラウがメールで、パスワード、秘密の質問の答え、暗証番号、口座番号などを尋ねることはない

お知らせのメールが届いていなくても、それだけで対象外とは言えません。対象かどうかを知りたい人は、問い合わせ窓口に、ワラウに登録したメールアドレスを伝えて問い合わせる方法が案内されています。回答は登録のメールアドレス宛てに送られます。

振込先口座の情報が対象かどうかは、現金（銀行振込）への交換で振込先口座を入力したことがあるかで決まります。質問集によると、会社は次回の手続きがスムーズになるよう口座情報を保持していたため、以前に使った口座も含まれます。ポイント通帳の交換履歴で、過去1年分の利用を確かめられます。それより前の利用や、口座を入力したことがあるか分からない場合は、問い合わせ窓口に連絡するよう案内されています。

確かめる順番としては、まず受信箱で「[email protected]」からのお知らせを探し、次にワラウにログインして再設定の画面が出るかを見て、最後にポイント通帳の交換履歴で銀行振込の交換をしたことがあるかを確かめると、自分が何をすればよいかがはっきりします。

会員がすること（再設定と、使い回しの見直し）

第二報の「4. 会員の皆様へのお願い」と質問集をもとに、会員がすることを順番に整理します。

1. ワラウのパスワードと秘密の質問の答えを再設定する。ログイン後、またはポイント交換の前に再設定の画面が表示される。10月15日以降に両方を再設定済みで、再設定の画面が出なければ、手続きは完了している
2. 10月15日より前にワラウで使っていたものと同じパスワードや秘密の質問の答えを、他社サービスでも使っていれば変える。ワラウで再設定を済ませた人も対象
3. 変える順番は、ポイントサービスやインターネットバンキングなど、お金を扱うサービスを先にする
4. 二段階認証を使えるサービスでは、あわせて設定する
5. 名前や生年月日をパスワードや暗証番号に使っていれば、推測されにくいものに変える

2つ目の点は見落とされがちです。ワラウでの再設定を済ませても、昔のパスワードがほかのサービスで生きていれば、そこが狙われるおそれがあります。パスワードの使い回しをやめる手順は、パスワードが漏洩したらどうなる｜変更の順番と使い回しの見直し方 2026で、変える順番の決め方から説明しています。

5つ目の点も大切です。今回は名前と生年月日が取得された可能性があります。誕生日の4桁を暗証番号やパスワードの一部にしていると、取得された情報と組み合わせて推測されるおそれがあります。会社も、生年月日など推測されやすい数字の暗証番号は変更を勧めています。

秘密の質問とは、パスワードを忘れたときやポイント交換のときに、本人かどうかを確かめるための質問と答えのことです。「母親の旧姓」「最初に飼ったペットの名前」のような質問は、ほかのサービスでも同じものを使っている人が少なくありません。ワラウで使っていた質問と答えをほかで使っていれば、そちらも変えてください。答えは事実どおりにする必要はなく、他人に推測されない文字列にしておくと安全です。

二段階認証とは、パスワードに加えて、スマートフォンに届く確認コードなど別の方法でも本人確認をする仕組みのことです。導入の考え方はMFA（多要素認証）導入のメリットと製品比較｜2026年の認証セキュリティ決定版で、仕組みと種類を比べながら説明しています。

秘密の質問の答えが判読できる形式だったことの意味

第二報で特に注意が要るのは、秘密の質問の答えの保管方法です。会社は、ポイント交換時に使う秘密の質問の答えは、パスワードと異なり、判読できる形式で保管していたと書いています。2026年10月15日にすべての答えをリセットし、元に戻すことが困難な形式（ハッシュ化）で保管する方式に改めました。

つまり、パスワードは変換された文字列のまま取得された可能性があるのに対し、秘密の質問の答えは、文字としてそのまま読める形で取得された可能性があるということです。ワラウ自体の答えはリセット済みなので、ワラウでそのまま悪用される心配は小さくなっています。問題は、同じ質問と答えを他社サービスでも使っている場合です。

多くのサービスでは、秘密の質問の答えがパスワードの再設定に使われます。メールアドレスと秘密の質問の答えがそろうと、ほかのサービスでパスワードを書き換えられてしまうおそれがあります。今回は登録のメールアドレスも取得された可能性があるため、組み合わせで悪用される場面を考えておく必要があります。

確かめ方としては、次の順番が分かりやすいです。

• パスワードの再設定に秘密の質問を使うサービスを思い出す（ネット銀行、証券、通販、ほかのポイントサイトなど）
• それぞれで、ワラウと同じ質問と答えを使っていないかを確かめる
• 同じなら答えを変える。サービスが秘密の質問をやめて、二段階認証やパスキーに切り替えられるなら、そちらに移る

パスキーとは、パスワードの代わりに、スマートフォンやパソコンの指紋・顔認証などでログインする方式のことです。対応しているかどうか、設定の手順はサービスごとに違うので、各サービスの公式の案内で確かめてください。

振込先口座の情報が含まれる人がすること

ポイントを現金に換えるために振込先口座を入力したことがある人は、金融機関、支店、口座番号、口座名義が取得された可能性があります。不安を感じる人が多い項目ですが、質問集はこの点を具体的に説明しています。

質問集によると、振込先口座の情報は、お金を振り込んでもらうための情報です。預金の引き出しや振込、口座振替の手続きには、キャッシュカードと暗証番号、インターネットバンキングのパスワードと追加の認証、届出印など、別の本人確認が必要です。これらは会社が預かっていないため、取得された可能性がある情報だけでは預金を動かせない、と説明されています。

そのうえで、念のための注意として次の3つが挙げられています。

1. 暗証番号などを聞き出す連絡に応じない。会社や金融機関を名乗り、暗証番号やワンタイムパスワードを求める連絡には応じない。「誤って入金したので返金してほしい」という連絡にも注意する
2. 暗証番号を推測されないようにする。キャッシュカードの暗証番号を生年月日など推測されやすい数字にしていれば、変更を勧める
3. 入出金や引き落としを確かめる。2026年10月4日以降の入出金や引き落としに、身に覚えのない取引がないかを見る。それより前の取引に、今回の情報が使われることはない

身に覚えのない取引があった場合は、すぐに利用している金融機関へ連絡し、警察相談専用電話（#9110）にも相談するよう案内されています。#9110とは、緊急の事件や事故ではないけれど警察に相談したいときにかける全国共通の番号のことです。

「誤って入金したので返金してほしい」という手口に触れられているのは、口座番号と名義が分かっていれば、実際に少額を振り込んだうえで返金を求める連絡をしてくるおそれがあるためです。こうした連絡が来たら、相手の言う口座に送るのではなく、まず自分の金融機関に相談してください。

ネット銀行のアプリで入出金の通知を受け取る設定ができる場合は、オンにしておくと、身に覚えのない動きにすぐ気づけます。通帳やアプリの明細を、月に1回は見る習慣をつけておくとよいでしょう。

ポイントを不正に交換されることはあるのか

ポイントサイトの会員にとっては、貯めたポイントを勝手に交換されないかも気になるところです。質問集によると、取得された可能性がある情報だけではポイントを交換できない仕組みにしているとされ、現時点で不正な交換は確認されていません。

ただし、質問集は1つの注意を挙げています。ワラウや他のサービスと同じパスワードを、メールのアカウントにも使っている場合です。パスワードの使い回しでメールのアカウントに不正にログインされると、ワラウの本人確認（登録のメールアドレスで行う確認）を悪用され、ポイントを交換されるおそれがあると書かれています。

メールのアカウントは、多くのサービスのパスワード再設定の入口になります。ここを守ることが、ワラウのポイントだけでなく、ほかのサービスを守ることにもつながります。

• メールのアカウントには、ほかで使っていないパスワードを設定する
• メールのアカウントで二段階認証を設定する
• ポイント通帳の交換履歴で、身に覚えのない交換がないかを確かめる
• 身に覚えのない再設定のお知らせや交換に気づいたら、すぐにメールのアカウントのパスワードを変え、ワラウの問い合わせ窓口に連絡する

PC版でYahoo! JAPAN ID連携を使っていた人は、10月6日に会社の側で連携が解除されています。引き続き使う場合は、次回ログイン時に連携の手続きをやり直す必要があります。連携が切れていても、何か異常が起きたわけではありません。

ワラウや金融機関を名乗る連絡の見分け方

情報漏えいのあとに増えやすいのが、お詫びや補償を口実にした偽の連絡です。会社は、パスワードや暗証番号を尋ねたり、振り込みを頼んだりすることはないとしています。質問集では、ワラウ、金融機関、ポイント交換先などを名乗るメール・SMS・電話に注意するよう呼びかけ、実際に利用したサービスの名前が書かれていても、パスワードや暗証番号の入力を求める案内には応じないよう書いています。

今回は、ポイント交換先の会員番号やポイントの交換履歴も取得された可能性があります。「あなたが交換した○○のポイントについて確認があります」のように、実際の利用に合った内容の連絡が届くと、本物だと思い込みやすくなります。中身が具体的であることは、本物である証拠になりません。

見分けるときの基本は次のとおりです。

• パスワード、秘密の質問の答え、暗証番号、ワンタイムパスワード、口座番号を求めてくる連絡は、名乗っている相手が誰でも応じない
• メールやSMSのリンクは開かず、ブックマークや検索から公式サイトを開いて、同じ知らせが出ているかを確かめる
• メールは差出人の表示名ではなく、アドレスの「@」の後ろを見る。ワラウの本物のお知らせは「[email protected]」
• 電話で口座の確認や返金の話をされたら、その場で答えず、いったん切って、自分で調べた公式の番号にかけ直す

偽のメールの特徴はフィッシング詐欺メールの見分け方｜5秒で振り分ける手順と開いた後の対処で、SMSで届く偽の知らせはスミッシング詐欺の見分け方｜SMSの本文とURLで判定する手順で、本文とURLのどこを見ればよいかを具体的に説明しています。万一、偽のページに入力してしまった場合は、入力した項目ごとに、すぐに連絡する先を決めて動くことが大切です。

問い合わせ窓口

第二報と質問集に書かれている窓口は、次の2つです。電話番号は載っていません。

窓口	内容
【重要】不正アクセスに関するご質問	ワラウのヘルプセンターにある本件専用の質問集。再設定、被害の状況、対象者、取得された可能性がある情報、口座、対策について説明している
不正アクセスに関するお問い合わせ窓口	質問集のページの下にある問い合わせフォーム。回答は平日（土日祝日を除く）10時から18時に順次。問い合わせが集中していると、回答までに時間がかかることがある

問い合わせフォームへは、ワラウのヘルプセンターの【重要】不正アクセスに関するご質問のページから進んでください。メールやSMSに書かれたリンクから問い合わせ先を開くのではなく、公式サイトから辿るのが安全です。

問い合わせるときは、次の内容を手元にそろえておくと話が早く進みます。

• ワラウに登録したメールアドレス（対象かどうかの回答は、このアドレス宛てに届く）
• 届いたお知らせメールの日時と差出人のアドレス
• 気になる取引や交換の日時、内容（ポイント通帳の画面など）
• 登録のメールアドレスが使えなくなっている場合は、その事情

登録のメールアドレスを使えない場合は、パスワードの再設定ができません。質問集では、その場合も問い合わせ窓口に連絡すれば、本人確認のうえで再設定の方法を案内するとされています。

在宅で仕事をする人が気をつけること

ポイントサイトを、在宅の仕事の合間に使っている人もいるでしょう。アンケートやモニターの仕事と、ポイントサイトを同じメールアドレスで使っている場合は、今回の件が仕事のアカウントにも影響しうることを考えておく必要があります。

まず、仕事で使うメールアドレスと、ポイントサイトや通販などの個人用のアドレスを分けておくと、どちらかで漏えいが起きたときに影響を区切れます。今回、メールアドレスが取得された可能性があるため、ワラウに登録したアドレスに偽のメールが届くおそれがあります。そのアドレスで取引先とやり取りをしているなら、取引先を名乗る偽の連絡にも注意が要ります。

次に、仕事で預かっている取引先の情報についてです。業務委託で顧客の名簿や申込書などを扱っている人は、自分の端末やアカウントが乗っ取られると、預かった情報まで出てしまうおそれがあります。個人情報保護委員会の漏えい等の対応のページでは、民間の事業者が委員会への報告を義務づけられる場合として、不正の目的をもって行われたおそれがある行為による漏えい等（又はそのおそれ）や、不正に利用されると財産的な被害が生じるおそれがある漏えい等が挙げられています。例として、送金や決済の機能のあるウェブサービスのログインIDとパスワードの組み合わせを含む個人データの漏えいが示されています。

自分が預かった情報で何かが起きたとき、委員会への報告などの手続きを担うのは、多くの場合は委託元の取引先です。どこまでが自分の責任になるかは、契約の内容や事情で変わるので断定できません。ただ、乗っ取りに気づいたらすぐ取引先に伝えることが、取引先が必要な手続きを進めるうえで欠かせない点は変わりません。

フリーランス・在宅ワークの仲介を2004年から続けてきた運営者として見てきた限りでは、長く取引が続く人ほど、アカウントの管理を地味に整えています。仕事用と個人用でメールアドレスとパスワードを分け、二段階認証をかけておくといった手順は、取引先から見ても安心して情報を預けられる理由になります。中間の手数料が乗らない直接の取引では、その信頼がそのまま次の依頼と、手取りの厚さにつながっていきます。

情報を守る知識を仕事に生かす

今回のような事案の発表を正確に読み、何をすればよいかを整理する力は、自分の身を守るだけでなく、仕事として求められる力にもなります。企業の中には、社員向けの注意喚起の資料づくりや、問い合わせへの回答文の作成、セキュリティに関する記事の執筆を、外部の人に頼むところがあります。

社員向けの研修や訓練に関わりたい人は、社員のセキュリティ意識を向上させるフィッシングメール模擬訓練の効果｜2026年最新の従業員教育ガイドで、従業員教育の進め方の例を読めます。在宅で受けられるセキュリティ関連の仕事の種類と探し方は、@SOHOのAI・マーケティング・セキュリティのお仕事で紹介しています。

ワラウの件は、2026年11月4日時点で、外部の専門機関による調査が続いている段階です。会員は、パスワードと秘密の質問の答えの再設定、同じものを使う他社サービスの変更、振込先口座を入力したことがある人は10月4日以降の入出金の確認を先に済ませてください。続報は、オープンスマイルの第二報のページと、ワラウのヘルプセンターの質問集で確かめるのが確実です。

よくある質問

Q. ワラウの情報漏洩で、何件の情報が対象になったのですか？

2026年11月4日時点の運営会社オープンスマイルの第二報と、ワラウのヘルプの質問集には、件数の記載がありません。対象となる項目も、会員ごとの登録内容や利用状況で違うとされています。対象者には、会社が保持しているメールアドレスへ個別にお知らせが送られます。対象かどうか分からないときは、問い合わせ窓口に登録のメールアドレスを伝えて確かめてください。

Q. 10月8日に「流出していない」と発表されていたのに、なぜ変わったのですか？

第二報によると、10月8日の判断は、当時把握していた攻撃の通信元と、データベースに残っていた記録をもとにしたものでした。その後、別の通信元が見つかったため、データベースに残らない通信も含めてアクセス記録を分析し、会員の情報も取得された可能性があると分かりました。会社は10月8日のお知らせは誤りだったとして訂正しています。

Q. 振込先口座の情報が取得された可能性があると、預金を引き出されてしまいますか？

質問集では、預金の引き出しや振込には、キャッシュカードと暗証番号、ネットバンキングのパスワードと追加の認証など別の本人確認が必要で、これらは預かっていないため、取得された可能性がある情報だけでは預金を動かせないと説明しています。念のため、10月4日以降の入出金を確かめ、暗証番号を聞く連絡には応じないでください。

Q. 退会した人も対象になりますか？

第二報と質問集によると、退会した人や会員登録の手続き途中だった人の情報も一部含まれます。退会でメールアドレスを削除している場合などは、お知らせが届かないことがあり、その場合は第二報のページのお知らせが案内になります。対象かどうかを知りたいときは、問い合わせ窓口に、ワラウに登録していたメールアドレスを伝えて確かめてください。