RAGTAG運営会社に不正アクセス｜会員情報延べ約120万件が流出した可能性

ワールドは2026年10月30日、連結子会社ティンパンアレイの業務サーバーが不正アクセスを受け、会員情報延べ約120万件が流出した可能性があると公表しました。対象項目は氏名、住所、電話番号、生年月日、性別、メールアドレスです。対象会員と件数の詳細は確認中で、個別メールによる案内を準備しています。

ティンパンアレイは、RAGTAG Onlineの特定商取引法に基づく表示に販売業者として記載される会社です。ただし今回の開示は、同社の業務サーバーに保存された会員情報についてのものです。利用者は全員の流出が確定したと受け取らず、公式の追加発表と個別通知で自分の対象範囲を確認してください。本稿は10月30日にワールドの公式開示（PDF）を本文まで確認した事件ニュースです。

侵入とデータ抽出操作は17日で検知は28日

公式開示によると、10月17日14時51分頃に外部から業務サーバーへ不正アクセスがあり、侵入とデータを抽出する操作が行われました。不正な操作を検知したのは10月28日12時08分頃で、その時点で対象サーバーを隔離しています。侵入が起きた日と検知した日は異なります。

28日21時36分までには不正アクセス経路を遮断し、関連する社内業務システムの一部を停止しました。遮断後は、その経路からアクセスできないことを確認したとしています。29日に警察へ相談し、個人情報保護委員会へ報告、30日に今回の開示を行いました。

約120万件は確定した被害人数ではない

開示が示す規模は会員情報の「延べ約120万件」です。重複を除いた120万人の流出が確定したという意味ではありません。データを抽出する操作が確認されたことと、対象情報のすべてが外部へ流出したと確認されたことも区別する必要があります。同社は会員情報の一部が流出した可能性があるとし、対象会員と件数の詳細を確認中と説明しています。

クレジットカード情報その他の決済情報と、顔情報の流出は確認されていません。一方、氏名や住所などの連絡先情報は流出の可能性がある項目に含まれます。決済情報の流出が未確認という説明だけで、会員情報全体に影響がないと判断することはできません。

一部業務システムを停止し外部調査へ

公表時点では、対象サーバーを外部ネットワークから遮断し、関連する社内業務システムの一部を停止しています。今後は外部のセキュリティ専門家等へ調査を依頼し、結果と助言を踏まえて再発防止策を講じる方針です。今回確認した開示には、具体的な侵入手口、原因となった製品や脆弱性、攻撃者は記載されていません。ランサムウェアなど特定の原因を補って説明しません。

また、この資料は全店舗の営業停止や、通販・買取機能の全停止を示していません。一部の社内業務システムを停止したという確認範囲を、すべてのサービスへ広げないことが必要です。復旧日や業務への詳しい影響も記載されておらず、当期業績への影響は精査中です。

個別メールは準備中で公式案内との照合が必要

ワールドは、ホームページでの告知と会員への個別メールによって、お詫びと注意喚起を行うとしています。準備が整い次第案内する方針であり、開示時点で対象者全員への通知が終わったという説明ではありません。通知がまだ届かないことだけで、自分は対象外と確定することもできません。

以下は本サイトの提案です。事故の連絡を名乗るメールが届いても、表示された会社名や、相手が氏名・住所を知っていることだけで信用せず、普段利用する公式サイトから告知と問い合わせ先を確認してください。メール内のリンク先でパスワードや決済情報を求められた場合も、入力前に別経路で確認します。これは便乗被害を避けるための提案で、今回そうした二次被害が発生したと確認されたものではありません。

運用担当者にとっては、今回の経緯では侵入の記録、検知、経路遮断、対象会員の特定、通知が別の段階にあります。サーバーを遮断できたことを、影響範囲の調査や本人への案内まで完了したことと扱わず、確定した事項と確認中の事項を分けて説明する点が重要です。利用者への手続きが追加される場合も、今後の公式案内を基準に判断してください。