ワールド子会社ティンパンアレイ（報道ではラグタグ運営）の不正アクセス（延べ約120万件）：氏名・住所・電話番号などが漏れた可能性と、会員がやること

流出の可能性がある情報には、氏名・住所・電話番号・メールアドレスがそろったものが含まれうるとみられます（発表は、全件に6項目すべてがあるとは書いていません）。そろっていれば、宛名も住所も合っている本物らしい連絡が作れます。

「お詫びのクーポン」「会員情報の再確認」「買取代金の振込確認」といった名目の連絡が来ても、本文のリンクは開かず、自分で公式サイトや公式アプリを開いて確かめてください。SMSで届く偽の通知（スミッシング）も同じです（見分け方は フィッシングとは）。

発表は、クレジットカード情報その他の決済情報の流出は確認されていないとしています。パスワードは流出の可能性がある項目に出てきませんが、「含まれない」と明言されたわけではありません。

相手が氏名や住所を正しく言えても、それは本物である証拠になりません。今回まさにその情報が流出した可能性があるからです。お詫びや返金を名目にカード番号やパスワードを求められたら、その時点で偽物と考えてください。

生年月日は、メールアドレスと違って変えられません。銀行・通販・携帯会社などの問い合わせや再設定で、生年月日が本人確認の答えになっているサービスは多くあります。

生年月日をパスワードや秘密の質問の答えにしていないかを確かめ、使っていれば別のものに替えます。ログインにはパスワードだけに頼らず、多要素認証を有効にしておくと、生年月日が知られても乗っ取られにくくなります。

パスワードは今回の発表の項目に出てこないので、この事件のために変えるものではありません。ただ、メールアドレスはログインIDに使われることが多く、使い回したパスワードがあると、一つの漏えいが他のサービスへ広がります。

棚卸しは パスワードマネージャー に任せるのが現実的です。使い回しているパスワードが過去の漏えいに含まれていないかは パスワード漏えいの確認方法 で調べられます。

電話番号と住所は、簡単には変えられません。今後、この事件以外の名目を含めて、詐欺の電話・SMS・郵便物が届く可能性があります。

スマホの迷惑電話・迷惑SMSのフィルター機能を有効にしておくと、届く数を減らせます（設定の考え方は スマホを安全に使う基本）。

同社は会員への個別メールを準備しているとしていますが、送信元のアドレスや時期は発表に書かれていません。送信元の表示は偽装できるため、メールが届いても、そのリンクからログインや入力はせず、ワールドとティンパンアレイのワールドの公式サイトのお知らせと照らし合わせてください。

発表に載っている問合せ先は、株式会社ワールド（TEL 03-6887-1300）です。これは発表文の問合せ先であり、会員向けの専用窓口が設けられたかどうかは、2026年11月1日時点の発表には書かれていません。届いた連絡に書かれた番号やURLではなく、公式サイトに載っている窓口を使います。

発表によれば、不正アクセスは10月17日、検知は10月28日で、その間は約11日です。検知後は同日中に経路を遮断したとされています。検知までが長いほど、抽出される情報は増えうるため、業務サーバーから大量のデータが読み出されたことに気づける記録と通知を先に整えます。

最初の1つとしては、会員データを保管するサーバーの読み出し件数や転送量を1時間ごとに記録し、普段との差が大きいときに担当者のスマホへ通知する設定から始めます（考え方は レート制限と濫用対策）。

今回の発表は、延べ約120万件の対象の会員と件数の詳細を確認中としています。複数のサービスの会員情報が同じ業務サーバーにあると、一度の侵害で範囲が広がり、対象の特定にも時間がかかります。

生年月日や性別のように、なくても業務が回る項目は保管しない、退会後は消すといった方針を決めておくと、漏えいの範囲を小さくできます。