■はじめに
2026年10月4日に、ワラウのサーバーが第三者による不正アクセスを受け、その後の調査で会員の個人情報が取得された可能性があることが判明しました。原因となった脆弱性を修正し、安全対策を行ったうえで、10月15日にサービスを再開しています。このたびは、会員の皆様に多大なご迷惑とご心配をおかけしておりますことを、重ねて深くお詫び申し上げます。
最終更新：2026年10月18日
■まずお願いしたいこと
Q. 何をすればよいですか？
会員の皆様の大切な情報とポイントをお守りするため、お手数をおかけしますが、次の点についてご協力をお願い申し上げます。
・ワラウのパスワードと秘密の質問と答えを再設定してください。ログイン後、またはポイント交換の前に、再設定の画面が表示されます。
・ワラウと同じパスワードや秘密の質問の答えを他のサービスでもお使いの場合は、そちらも変更をお願いいたします。
・弊社やワラウ、金融機関、ポイント交換先などを名乗るメール・SMS・電話にご注意ください。ご自身が実際にご利用になったサービスの名前が書かれていても、パスワードや暗証番号などの入力を求める案内には応じず、公式サイトや正規の窓口でご確認ください。
Q. 再設定はどのように行いますか？
1. ワラウにログインします。
2. ご登録のメールアドレスに届く確認メールで、ご本人確認を行います。
3. 新しいパスワードを設定します。
4. 新しい秘密の質問と答えを設定します。答えは、他のサービスで使っていないものにしてください。
※再設定は、必ずワラウのサイトから始めてください。メールやSMSのリンクから始める必要はありません。
Q. 登録しているメールアドレスが使えなくなっていて、パスワードを再設定できません。
パスワードの再設定には、ご登録のメールアドレスでの認証が必要です。メールアドレスをご利用いただけない場合は、お問い合わせ窓口までご連絡ください。ご本人確認のうえ、再設定の方法をご案内いたします。
Q. 確認メールが届きません。
迷惑メールフォルダをご確認のうえ、warau.jpからのメールを受信できるよう設定してください。また、混み合っている場合は、届くまでに時間がかかることがあります。
Q. 再設定したのに、ポイント交換ができません。
安全のため、パスワードや秘密の質問と答えを再設定された後、24時間はポイント交換を制限しております。交換のご予定がある方は、お早めに再設定をお済ませください。
■取得された可能性がある情報について
Q. 取得された可能性がある情報は何ですか？
現時点で確認している主な情報は、以下のとおりです。
【取得が確認された情報】
・Yahoo! JAPAN ID連携用のトークン
・大半は有効期限切れでしたが、攻撃時点では一部に有効期限内のものが含まれていました。これらを含め、10月6日に弊社側ですべて無効化しております。（Yahoo! JAPAN ID連携用のトークンは、Yahoo! JAPAN IDやパスワードそのものではありません。）
【取得された可能性がある情報】
・会員情報（お名前、生年月日、性別、メールアドレスなど）
・ログインに関する情報（ハッシュ化したパスワード、秘密の質問と答え、ログイン履歴など）
・ポイントに関する情報（ポイントを獲得されたサービスなどの履歴、ポイント交換先の会員番号など）
・振込先口座の情報（金融機関名、支店、口座番号、口座名義）
※振込先口座の情報が対象になるのは、これまでに現金への交換をご利用になった会員のみです。ネットバンキングのパスワードや暗証番号は、弊社ではお預かりしておりません。
※退会された会員、会員登録の手続き途中の方の情報も一部含まれます。
Q. パスワードを取得された可能性はありますか？
ハッシュ化したパスワードが取得された可能性がございます。ハッシュ化とは、パスワードを元に戻すことが困難な値に変換して保管する方式です。解読される可能性を完全には否定できないため、すべての会員にパスワードの再設定をお願いしております。
Q. 秘密の質問の答えを取得された可能性はありますか？再設定は必要ですか？
取得された可能性がございます。会員の安全を守るため、すべての会員の秘密の質問と答えをリセットし、質問の項目も新しくいたしました。お手数をおかけいたしますが、再設定の画面が表示されましたら、新しい質問と答えを設定してください。
ワラウと同じ秘密の質問の答えを他のサービスでもお使いの場合は、念のため、そのサービスでも変更をお願いいたします。
Q. 口座情報を取得された可能性はありますか？
これまでに現金（銀行振込）への交換をご利用になった会員は、振込先口座の情報（金融機関名、支店、口座番号、口座名義）が取得された可能性がございます。ご利用になったことがない会員は対象外です。
預金の引き出しや振込には、キャッシュカードと暗証番号、またはネットバンキングのパスワードと多要素認証が必要です。これらは弊社ではお預かりしていないため、取得された可能性のある口座情報だけでは、預金を動かすことはできません。
ただし、暗証番号などの認証情報を聞き出そうとするなりすましやフィッシング詐欺に備えて、念のため次の点にご注意ください。
・弊社や金融機関を名乗る連絡で暗証番号やワンタイムパスワードを聞かれても、お答えにならないでください。
・見知らぬ方に「誤って入金したので返金してほしい」と頼まれたときは、ご自身で返金なさらず、お取引の金融機関にご相談ください。
・推測されやすい暗証番号を設定している場合はご変更をおすすめします。
・身に覚えのない取引に気づいたときは、お取引の金融機関にご連絡のうえ、警察相談専用電話（#9110）にもご相談ください。
Q. クレジットカード情報を取得された可能性はありますか？
現時点の調査では、今回取得された可能性がある情報に、クレジットカード情報は含まれておりません。
なお、弊社でお預かりしていたクレジットカード情報は、ワラウカードの情報のみです。
Q. 10月8日のお知らせと内容が違うのはなぜですか？
10月8日のお知らせは、当時把握していた攻撃の通信元と、データベースに残っていた記録をもとに判断したものでした。
その後、攻撃に使われた別の通信元が見つかったため、調査の範囲を広げてサーバーのアクセス記録を詳しく分析しました。その結果、上記の情報が取得された可能性があることが判明し、内容を訂正いたしました。
また、本件については外部の専門機関に調査を依頼しました。調査の結果と再発防止策につきましては、まとまり次第あらためてご報告申し上げます。
正確なご案内ができず、ご心配をおかけしましたことを、あらためてお詫び申し上げます。
Q. 現時点で被害は確認されていますか？
現時点で、本件に起因すると確認された不正なポイント交換や金銭的な被害はございません。身に覚えのない交換や取引にお気づきの場合は、お問い合わせ窓口までご連絡ください。新たな事実が判明した場合は、速やかにお知らせいたします。
■不審な連絡にご注意ください
Q. 不審なメール・SMS・電話がありました。本物ですか？
弊社やワラウ、金融機関などを装ったフィッシングメールなどにご注意ください。今回取得された可能性のある情報が正しく書かれていても、本物とは限りません。
弊社がメール・SMS・電話で、ワラウのパスワードや秘密の質問の答え、ネットバンキングのパスワードや暗証番号をお尋ねすることは一切ありません。不審に感じたメールやSMSは、リンクを開かずに破棄してください。
■弊社の対応・今後について
Q. どのような対策を行っていますか？
原因となった箇所の修正に加え、サイト全体の点検と脆弱性の修正を10月14日に完了しております。
【サービス再開までに実施した対策】
・ログイン状態と自動ログインの解除（再開後は、すべての会員に再ログインをお願いしています）
・秘密の質問と答えのリセット、および質問項目の見直し
・パスワードと秘密の質問と答えの再設定を必須化
・パスワードや秘密の質問と答えの再設定後、一定期間のポイント交換の制限
・交換先のアカウントを変更する際の、ご本人確認の強化
・メールアドレスを変更する際の、ご本人確認
・外部サービスとの連携や、暗号化に使用する鍵の更新
【再発防止に向けて取り組んでいる対策】
・パスワード、秘密の質問と答えの保管方式の強化
・データベースのアクセス権限の見直しと、不正なアクセスを検知する仕組みの強化
・弊社で保有する個人情報の最小化
・第三者による脆弱性診断の実施
Q. 個人情報保護委員会へ報告していますか？
今回の不正アクセスにより個人情報が取得された可能性につきましては、法令に基づき、個人情報保護委員会へ速報を提出しております。また、警察庁へサイバー事案として通報も行っており、関係機関と連携して今後の対応を進めてまいります。
Q. サービスの安全性は確保されていますか？
原因となった脆弱性の修正を終え、安全性の確認およびセキュリティ強化を実施したうえで、サービスを再開しております。今後も、会員の皆様に安心してご利用いただけるよう、継続して安全確認と監視を行ってまいります。
