SecurityHeroblog
セキュリティの基本12閲覧

財布をなくした日のように — ルックピン流出後に取り直す番号

メンズファッションアプリ「ルックピン」の運営会社レベル13がハッキングを認めました。最初に知らせたメール・電話番号のほかにも、住所、返金口座、注文履歴、海外通販の通関番号まで流出したことが確認されました。変えられない情報と、取り直せる番号を分けて、今日やるべきことを整理しました。

財布をなくした日を思い出してみましょう。

まずカード会社に電話してカードを止めます。学生証も、交通カードも新しく発行してもらいます。新しく受け取れるものから変えるのです。

ところが財布には、変えられないものも入っています。学生証に書かれた自分の名前と学校がそうです。レシートに印字された、自分が買った品物のリストもそうです。こういうものは再発行してもらえません。

数日後、こんな連絡が来るかもしれません。「財布を見つけました。お返しするには、このリンクで本人確認をしてください。」相手は自分の名前も、学校も知っています。財布を持っているのですから。

今週報じられた事件が、この場面に似ています。この記事は、なくした財布の話で最後まで進みます。

まず、自分の携帯に来るかもしれないメッセージ

ショートメッセージが一通届きます。自分の名前が書かれています。この前買った服の名前もあります。通関が保留になったので個人通関固有符号をもう一度確認してほしい、と言ってきます。リンクを押すと関税庁を装ったページが出ます。そこで通関番号と口座情報を入力するよう求められます。

個人通関固有符号は、関税庁が個人に発行する番号です。海外のショッピングサイトで直接買った品物(海外通販)が税関を通るときに使います。略して通関番号と呼ぶことにします。

事実 メンズファッションアプリルックピンの運営会社レベル13がハッキングを認めました。9月16日、社内のデータ分析システムに外部から異常なアクセスがあったとしています。その過程で顧客情報の一部が流出したと明らかにしました。

事実 会社は9月20日にメールで最初の通知をしました。このとき明らかにした流出項目は四つでした。メール、暗号化されたパスワード、電話番号、接続IPです。接続IPは、インターネットに接続するときに機器に付く住所です。

事実 その後、会社が確認した流出項目は大きく増えました。新たに加わった項目は次のとおりです。

  • 受取人の氏名・住所・連絡先
  • 返金口座
  • マスクされたカード番号(番号の一部を隠して保存したもの)
  • 注文履歴
  • 個人通関固有符号
  • 生年、身長、体重

人によって流出した項目は違います。 全員に全部が流出したわけではありません。

事実 ルックピンは、配送・返金・補償を口実に来るメッセージや電話に注意するよう呼びかけました。メッセージの中のリンクを押さず、公式アプリやホームページで確認するよう伝えました。

推定 はっきりさせておくことがあります。上に書いたメッセージは**「来るかもしれない」メッセージ**です。流出した情報を使った詐欺メッセージが実際に送られたという確認は、まだありません。通関番号が実際に悪用されたという報道もありません。今は会社が「注意してください」と言った段階です。ただ、そうしたメッセージを作る材料が流出したことは確認されています。だからこの記事を書いています。

財布に置き換えるとこうなります。財布はすでに他人の手にあります。まだ「財布を見つけました」という連絡が来たわけではありません。それでもカードは今すぐ止めるべきです。

なぜ通じるのか — 財布の中のレシートまで持っているから

推定 偽のメッセージを見分けるとき、私たちはたいていこう判断します。相手が自分についてどれだけ知っているかを見ます。「お客様」とだけ書いてあれば疑います。自分の名前と、自分が買った服の名前まで書いてあれば信じます。

推定 今回流出した項目をもう一度見てください。受取人の氏名と住所があります。注文履歴があります。通関番号と返金口座もあります。「通関保留」のメッセージ一通に必要な材料が、一つの財布の中にそろっているわけです。ですから「ここまで詳しく知っているなら本物だろう」という判断は、今回は通じません。詳しく知っていることは、本物である証拠ではありません。漏れた情報を持っているという合図かもしれません。

推定 時期も重なります。秋夕(チュソク)の連休で、宅配のメッセージが普段より多く届く時期です。本物の宅配メッセージの間に偽物が一通混ざっても、目につきにくいのです。

そうしたメッセージを一般にスミッシングと呼びます。ショートメッセージ(SMS)とフィッシング(だまして情報を抜き取る詐欺)を合わせた言葉です。

事実 情報が流出した経路は、こう説明されています。会社はMetabaseというデータ分析ツールのセキュリティ脆弱性が悪用されたとみています。Metabaseは、社内に蓄積されたデータを表やグラフにして見るためのプログラムです。脆弱性はプログラムに空いた隙間です。本来はふさがっているべき場所が開いている状態を指します。

事実 不審なアクセスは8月29日と9月15〜16日にあったと報じられました。会社は9月16日午後3時ごろ、見知らぬアカウントを発見したと明らかにしたと報じられています。同じ日にそのシステムへの接続を遮断したとしています。遮断した日付は報道によって少しずつ違います。ここでは「発見した日に遮断した」という会社の説明に従います。

事実 ルックピンは韓国インターネット振興院(KISA)に侵害事故の届け出を、関係機関に個人情報流出の届け出を済ませたと明らかにしたと報じられました。キム・ジョンヒョン代表が顧客情報を守れなかったことについて謝罪したという報道も出ました。

推定 その隙間がどうやって突かれたのかは、この記事では扱いません。読者に必要なのは手口ではありません。財布に何が入っていたのか、そして何を変えるべきなのか、です。

数字で見た規模

数字を表にします。三つ目の列を先に見てください。 誰が言ったことなのかが、数字と同じくらい重要です。

数字 何か 誰が言ったことか
270万 保有していると主張する顧客数 ハッカーの主張 · 会社の確認なし
1,100万 保有していると主張する注文件数 ハッカーの主張 · 会社の確認なし
9月18日 ハッキングフォーラムにルックピンのデータ販売の書き込みが上がった日 報道
9月20日 会社がメールで最初に知らせた日 報道

事実 270万と1,100万はハッカーが言ったことです。ハッキングフォーラムは、ハッカーたちがデータを売買するインターネット掲示板です。そこに上がった販売の書き込みに記された数字です。会社はこのデータが本物かどうかを確認していません。 そしてこの数字は被害者の数ではありません。実際に情報が流出した人が何人なのかは、会社がまだ明らかにしていません。重複するアカウントを除きながら数えている最中だとしています。

推定 それでも、二つの数字を並べると見えてくるものがあります。1,100万を270万で割ると、一人あたり注文四件ほどです。ハッカーの言うとおりなら、一人の財布からレシートが一枚ではなく一束ずつ出てきたことになります。買った服の名前がいくつも書かれたメッセージを作れる、ということです。

事実 日付も見てください。販売の書き込みは9月18日に上がったと報じられました。会社の最初の通知は9月20日でした。販売の書き込みのほうが告知より二日早いのです。

推定 財布をなくしたと気づく前に、誰かがすでにその財布を市場に出していたかもしれない、という話です。ただし、売られているデータが今回の事故のデータと同じものかどうかは確認されていません。

事実 会社が見知らぬアカウントを発見した日は9月16日です。今日は9月24日です。8日目です。

それで、今やること

財布をなくした日の順序そのままです。まず何が入っていたかを確認します。次に、新しく受け取れるものから変えます。

一つ。自分の財布から何が流出したのかを見る。

ルックピンの公式アプリやホームページで流出照会の機能を使えば大丈夫です。本人認証を経れば、自分の情報のうち何が流出したのかを見られると報じられました。人によって流出した項目が違うので、必ず自分で確認してください。照会結果に通関番号や返金口座があれば、三つ目の段階までやる必要があります。

二つ。パスワードを変える。同じパスワードを使っていたところも全部。

今回流出したのは「暗号化されたパスワード」です。パスワードを判読できない形に変換して保存した値、という意味です。ところが、その値をどれだけ解読しにくい方法で保存していたのかは公表されていません。分からないときは変えるのが正解です。他のサイトで同じパスワードを使っていたなら、そこも変えてください。財布の中のカード一枚が別の扉も開ける鍵だったなら、その扉の錠も替えなければならないからです。

三つ。通関番号が流出したなら、取り直す。

今回の事故でカードのように新しく取り直せる番号が、まさに通関番号です。関税庁の電子商取引通関ポータルに符号変更のメニューがあることまで確認しました。

このとき大事なことが一つあります。メッセージの中のリンクから入らないでください。 アドレスバーに関税庁通関ポータルのアドレスを直接入力して入ります。アドレスは記事の最後の出典に書いておきました。

入ったついでに、海外通販の通関記録も照会してみてください。自分が注文した覚えのない通関記録があれば、同じポータルの盗用申告メニューで届け出ます。

番号を取り直すと古い番号がすぐ止まるのかは、私たちは確認できませんでした。一年に何回まで変えられるのかも確認できませんでした。ポータル画面の案内に従ってください。

四つ。配送・返金・補償・通関を口実にリンクを送ってくるメッセージは、まず疑う。

自分の名前が合っていて、買った服の名前が合っていても同じです。リンクは押しません。ルックピンならルックピンの公式アプリで、通関なら関税庁のポータルで、自分から出向いて確認します。

推定 財布の話で締めくくります。カードは止めて、新しく受け取ればいいのです。今回の事故では、パスワードと通関番号がそのカードです。しかし名前、住所、身長と体重、自分が買った服のリストは、新しく受け取ることができません。だから、もう一つルールが必要です。「財布を見つけました」と先に連絡してきた側のリンクからは行かない。遺失物センターには自分から出向く。 相手が自分をどれだけよく知っているかは基準ではありません。誰が先に連絡してきたかが基準です。

私たちが分からないこと

このブログは、確認されていないことを確認されたことのようには書きません。今回の件でまだ分からないことです。

  • 実際に情報が流出した人が何人なのか分かりません。 会社は重複するアカウントを除きながら数えている最中だとして、規模を明らかにしていません。
  • ハッキングフォーラムで売られているデータが今回の事故のデータと同じものか分かりません。 270万・1,100万はハッカーの主張であり、会社は確認していません。
  • 通関番号が実際に悪用された事例があるのか分かりません。 報じられた事例はありません。
  • 流出した情報を使った詐欺メッセージが実際に送られたのか分かりません。 今は懸念と注意喚起の段階で、確認された事例はありません。この記事のメッセージの場面は「来るかもしれない」ことであって、「すでに起きた」ことではありません。
  • メールと暗号化されたパスワードが全会員のものなのか、一部のものなのか分かりません。 報道によって表現が違います。
  • パスワードをどのような方式で保存していたのか分かりません。 解読しやすい方式だったのかは公表されていません。
  • 補償の計画が分かりません。 報じられた内容はありません。
  • 通関番号を取り直すときに回数制限があるのか、古い番号がすぐ止まるのか分かりません。 一次情報源では確認できませんでした。
  • 誰がやったのか分かりません。 攻撃主体は報じられていません。ですからこの記事には国籍も組織名もありません。
  • ルックピンの告知の原文を直接見ていません。 メールとアプリの告知は、私たちには開いて見ることができませんでした。四つの媒体の報道が同じ内容を伝えているかを互いに照合しました。

確認されていないもの: ルックピンの告知原文、実際の流出人数、販売データの真偽、詐欺メッセージが実際に送られたかどうか、通関番号の悪用事例、通関番号の再発行回数制限と古い番号の停止可否、攻撃主体。遮断の時刻は報道によって少しずつ違うため、会社の説明(「発見当日に遮断」)に従いました。

出典

一次情報源は、ルックピン(レベル13)が利用者に送った流出通知と、関税庁の通関ポータルです。ルックピンの通知の原文は確認できなかったため、以下の報道で代えます。

この記事は私たちのハニーポット観測ではなく、他者の取材を材料に書いています。ですから攻撃タイムライン・MITRE・IOCのブロックがありません。ない資料を作って入れることはしませんでした。攻撃者のIPや認証情報もブリーフになかったため載せていません。したがってマスキングしたり引用したりする値もありません。すべての事実は2026年9月20〜22日の報道を基準に書きました。会社の告知の原文は直接確認できなかったため、一つの媒体だけが伝えた内容は本文で「報じられました」と区別しました。270万・1,100万はハッカーの主張であり、被害者数ではありません。攻撃主体・国籍は確認されていないため書きませんでした。真似できるコマンド・攻撃用アドレス・手順は載せていません。基準日 2026-09-24 · 公開日 2026-09-24.