最終更新：2026年10月28日

■はじめに

2026年10月4日に、ワラウのサーバーが第三者による不正アクセスを受け、その後の調査で会員様の個人情報が取得された可能性があることが判明しました。原因となった脆弱性を修正し、安全対策を行ったうえで、10月15日にサービスを再開しています。このたびは、会員の皆様に多大なご迷惑とご心配をおかけしておりますことを、心より深くお詫び申し上げます。
本件の詳しい経緯と最新の情報は、こちらをご覧ください。
・不正アクセスによる個人情報に関するお詫びとご報告

■1. ご対応のお願い

会員の皆様の大切な情報とポイントをお守りするため、お手数をおかけしますが、次の点についてご協力をお願い申し上げます。

Q. 何をすればよいですか？
・ワラウのパスワードと秘密の質問と答えを再設定をお願いします。ログイン後、またはポイント交換の前に、再設定の画面が表示されます。
・ワラウと同じパスワードや秘密の質問と答えを他社サービスでもお使いの場合は、そちらも変更をお願いいたします。
・弊社やワラウ、金融機関、ポイント交換先などを名乗るメール・SMS・電話にご注意ください。ご自身が実際にご利用になったサービスの名前が書かれていても、パスワードや暗証番号などの入力を求める案内には応じず、公式サイトや正規の窓口でご確認ください。

Q. 再設定はどのように行いますか？
お手数をおかけしますが、ワラウのパスワードと、秘密の質問と答えの再設定をお願いいたします。ログイン後、またはポイント交換の前に、再設定の画面が表示されます。再設定から24時間は、ポイント交換ができません。交換のご予定がある方は、お早めに再設定をお済ませください。

Q. 再設定したのに、ポイント交換ができません。
安全のため、パスワードや秘密の質問と答えを再設定された後、24時間はポイント交換を制限しております。交換のご予定がある方は、お早めに再設定をお済ませください。

Q. 再設定の確認メールが届きません。
迷惑メールフォルダをご確認のうえ、「 *.warau.jp」からのメールを受信できるよう設定をお願いします。また、混み合っている場合は、届くまでに時間がかかることがあります。ご登録のメールアドレスをご利用いただけない場合は、お問い合わせ窓口までご連絡ください。

Q. 登録しているメールアドレスが使えなくなっていて、パスワードを再設定できません。
パスワードの再設定には、ご登録のメールアドレスでの認証が必要です。メールアドレスをご利用いただけない場合は、お問い合わせ窓口までご連絡ください。ご本人確認のうえ、再設定の方法をご案内いたします。

Q. 他社サービスのパスワードや秘密の質問と答えも変更が必要ですか？
ワラウと同じパスワードや秘密の質問と答えを、他社サービスでもお使いの場合は、そちらも変更をお願いいたします。ポイントサービスやインターネットバンキングなど、お金を扱うサービスを優先してください。二段階認証を利用できるサービスでは、あわせて設定をお願いいたします。

他社サービスのパスワード、キャッシュカードの暗証番号、インターネットバンキングのパスワードは、弊社ではお預かりしていないため、取得されておりません。ただし、今回取得された可能性があるお名前や生年月日をパスワードや暗証番号に使っている場合は、推測されるおそれがあります。推測されにくいものへの変更をお願いいたします。

Q. PC版でYahoo! JAPAN ID連携を使っていました。何か手続きは必要ですか？
10月6日に、弊社側ですべての会員様のPC版Yahoo! JAPAN ID連携を解除しております。引き続きご利用になる場合は、お手数をおかけしますが、次回ログイン時に再度連携のお手続きをお願いいたします。

■2. 被害の状況と不審な連絡へのご注意

Q. 現時点で被害は確認されていますか？
現時点で、本件に起因すると確認された不正なポイント交換や金銭的な被害はございません。身に覚えのない交換や取引にお気づきの場合は、お問い合わせ窓口までご連絡ください。新たな事実が判明した場合は、速やかにお知らせいたします。

Q. 不審な連絡が来た場合は、どうすればよいですか？
弊社から、パスワードや暗証番号をお尋ねしたり、お振込をお願いしたりすることはありません。こうした連絡には応じないでください。
お詫びや補償を口実に、情報を聞き出そうとするメール・SMS・電話にご注意ください。パスワードや口座情報の入力を求めるメール・SMSのリンクは開かず、ブックマークや検索から公式サイトを開いてください。身に覚えのない取引や不審な連絡があった場合は、ご利用の金融機関と、弊社のお問い合わせ窓口へご連絡ください。

Q. お知らせメールが届きました。本物ですか？
対象となる会員様には、ご登録のメールアドレスへ、個別にお知らせをお送りしております。
本物のお知らせメールは、次のメールアドレスからお送りしております。

差出人のメールアドレス「send@mta.warau.jp」

差出人の名前が「ワラウ」となっていても、メールアドレスが上記と異なる場合は、弊社からのメールではありません。スマートフォンでは差出人の名前だけが表示されることがあるため、名前をタップして差出人のメールアドレスをご確認ください。
また、「@」の後ろが「mta.warau.jp」と完全に一致するかをご確認ください。「mta-warau.jp」のように、一部だけが似たアドレスにもご注意ください。
※弊社がメールで、パスワード、秘密の質問の答え、暗証番号、口座番号などをお尋ねすることはありません。

■3. お知らせの対象となる方について

Q. お知らせメールが届いていません。対象ではないのですか？
対象となる方には、弊社で保持しているメールアドレスへ、個別にお知らせいたします。ただし、退会によりメールアドレスを削除している場合や、メールアドレスの変更・解約、受信の設定によっては、お知らせが届かないことがあります。その場合は、本ページでのお知らせをもってご案内とさせていただきます。ご不明な点は、下記の窓口までお問い合わせください。

Q. 退会後も情報が残っているのですか？
弊社では、トラブルへの対応や、ポイントの不正な取得・利用を防ぐため、退会された会員様の情報を一定期間保持しております。このため、退会された会員様の情報も、一部が今回の対象となっておりました。また、その中には、必要な期間を超えて保持していた情報も含まれております。ご心配をおかけしておりますことを、深くお詫び申し上げます。

対象の方には、弊社で保持しているメールアドレスへ、個別にお知らせいたします。ただし、退会によりメールアドレスを削除している場合や、メールアドレスの変更・解約、受信の設定によっては、お知らせが届かないことがあります。その場合は、本ページでのお知らせをもってご案内とさせていただきます。また、ご自身が対象かどうかをお知りになりたい場合は、お問い合わせ窓口へワラウにご登録いただいたメールアドレスをご連絡ください。回答は、ご登録のメールアドレス宛てにお送りします。

その他の情報についても、退会後のお問い合わせへの対応やポイントの不正な取得・利用の防止に必要な情報、法令で保存が必要な情報を除き、退会日に削除する方向で見直しを進めております。除外した情報についても、必要な期間に限って保持し、その後削除いたします。

■4. 取得された可能性がある情報について

Q. 取得された可能性がある情報は何ですか？
【取得された情報】
・Yahoo! JAPAN ID連携用のトークン
※Yahoo! JAPAN IDやパスワードそのものではありません。大半は有効期限切れでしたが、攻撃時点では一部に有効期限内のものが含まれていたため、10月6日に弊社側ですべて無効化しております。次回ログイン時に再度連携のお手続きをお願いいたします。

【取得された可能性がある情報】
・ご登録情報（お名前、性別、生年月日、都道府県、郵便番号、メールアドレスなど）
・ログイン関連の情報（ハッシュ化したパスワード、秘密の質問の答え、ログイン履歴など）
・ポイント関連の情報（ポイント獲得履歴、ポイント交換履歴、交換先の会員番号など）
・振込先口座の情報（金融機関、支店、口座番号、口座名義）

※ご登録・ご利用の状況により、該当しない項目もございます。
※調査により、取得された可能性がある情報の項目が変わった場合は、あらためてご連絡いたします。
※振込先口座の情報が対象になるのは、現金への交換のために振込先口座をご入力いただいた会員様となります。
※退会された会員様、会員登録の手続き途中の方の情報も一部含まれます。
※他社サービスやインターネットバンキングのパスワードや暗証番号は弊社ではお預かりしておりません。
※上記以外の情報についても、引き続き調査しております。

Q. パスワードや秘密の質問の答えを取得された可能性はありますか？再設定は必要ですか？
ハッシュ化したパスワードと、秘密の質問の答えが取得された可能性がございます。すべての会員様に、パスワードと秘密の質問と答えの再設定をお願いしております。
ログイン時に利用するパスワードは、元に戻すことが困難な形式（ハッシュ化）に変換して保管しており、パスワードそのものは取得されていません。ただし、解読される可能性を完全には否定できないため、再設定をお願いしております。ポイント交換時に利用する秘密の質問の答えは、パスワードと異なり、判読できる形式で保管しておりました。2026年10月15日にすべての答えをリセットし、現在はハッシュ化して保管しております。

Q. 振込先口座の情報を取得された可能性はありますか？
これまでに現金（銀行振込）への交換のために振込先口座をご入力いただいた会員様は、振込先口座の情報（金融機関、支店、口座番号、口座名義）が取得された可能性がございます。
弊社では、次回のポイント交換のお手続きがスムーズになるよう振込先口座情報を保持していたため、以前にお使いになった口座も含まれます。振込先口座をご入力いただいたことがない会員様は対象外です。会員様にご心配をおかけしておりますことを、深くお詫び申し上げます。

ポイント通帳の交換履歴で、過去1年分のご利用をご確認いただけます。それより前のご利用や、振込先口座をご入力いただいたことがあるかどうかがご不明な場合は、お問い合わせ窓口までご連絡ください。

振込先口座の情報は、お金を振り込んでいただくための情報です。預金の引き出しや振込、口座振替の手続きには、キャッシュカードと暗証番号、インターネットバンキングのパスワードと追加の認証、届出印など、別の本人確認が必要です。これらは弊社ではお預かりしていないため、取得された可能性がある情報だけでは、預金を動かすことはできません。

ただし、念のため、次の点にご注意ください。
1. 暗証番号などを聞き出す連絡に応じない
弊社や金融機関などを名乗り、暗証番号やワンタイムパスワードを求める連絡には応じないでください。「誤って入金したので返金してほしい」といった連絡にもご注意ください。
2. 暗証番号を推測されないようにする
キャッシュカードの暗証番号を、生年月日など推測されやすい数字にしている場合は、変更をおすすめします。
3. 入出金や引き落としを確認する
2026年10月4日以降の口座の入出金や引き落としに、身に覚えのない取引がないかご確認ください。それより前の取引に、今回取得された可能性がある情報が使われることはありません。
身に覚えのない取引があった場合は、すぐにご利用の金融機関へご連絡のうえ、警察相談専用電話（#9110）にもご相談ください。

Q. 取得された可能性がある情報で、ポイントを不正に交換されることはありますか？
取得された可能性がある情報だけでは、ポイントを交換できない仕組みとしております。現時点で、本件による不正な交換は確認されておりません。
10月15日のサービス再開後は、すべての会員に、パスワードと秘密の質問と答えの再設定をお願いしております。再設定には、ご登録のメールアドレスでの本人確認が必要です。また、再設定を行うと、ご登録のメールアドレスにお知らせが届き、再設定から24時間はポイント交換を制限しております。
ただし、ワラウや他のサービスと同じパスワードを、メールのアカウントにもお使いの場合は注意が必要です。パスワードの使い回しにより、そのアカウントに不正にログインされると、ワラウでの本人確認を悪用され、ポイントを交換されるおそれがあります。メールのアカウントには他で使っていないパスワードを設定し、あわせて二段階認証（ログイン時の追加の確認）をご利用ください。

ご心配な場合は、ポイント通帳の交換履歴で、身に覚えのない交換がないかをご確認ください。万一、身に覚えのない再設定のお知らせや交換にお気づきの場合は、すぐにメールのアカウントのパスワードを変更のうえ、お問い合わせ窓口までご連絡ください。状況をお伺いしたうえで、調査いたします。

Q. クレジットカード情報を取得された可能性はありますか？
現時点の調査では、今回取得された可能性がある情報に、クレジットカード情報は含まれておりません。
なお、弊社でお預かりしていたクレジットカード情報は、ワラウカードの情報のみです。

■5. 10月8日のお知らせの訂正と経緯について

Q. 10月8日のお知らせと内容が違うのはなぜですか？
10月8日のお知らせは、当時把握していた攻撃の通信元と、データベースに残っていた記録をもとに判断したものでした。
その後、攻撃に使われた別の通信元が新たに見つかったため、調査の範囲を広げ、データベースの記録には残らない通信も含めてサーバーのアクセス記録を詳しく分析しました。その結果、上記の情報が取得された可能性があることが判明しました。10月8日のお知らせには誤りがありました。内容を訂正するとともに、深くお詫び申し上げます。
また、本件については外部の専門機関に調査を依頼しております。調査の結果と再発防止策につきましては、まとまり次第あらためてご報告申し上げます。

Q. 10月9日にも不正アクセスがあったのですか？
10月9日夜に、弊社サーバーへの新たな不正アクセスの試みを検知しました。翌10日未明から、安全が確認できるまでの間、ワラウのすべてのサービスを一時停止し、調査と安全対策を行いました。10月9日の試みを含め、10月5日以降に情報が取得された形跡は、現時点で確認されておりません。

■6. 弊社の対策と今後のご報告について

Q. どのような対策を行っていますか？
原因となった箇所の修正に加え、10月14日までにサイト全体の点検と脆弱性の修正を行いました。そのほか、次の対策を行っています。

【サービス再開までに実施した対策】
・ログイン状態と自動ログインの解除（再開後は、すべての会員様に再ログインをお願いしています）
・秘密の質問と答えのリセット、および質問項目の見直し
・パスワード、秘密の質問と答えの保管方式の強化、再設定の必須化
・パスワードや秘密の質問と答えを再設定された後、24時間のポイント交換の制限
・メールアドレスを変更する際の、ご本人確認

【再発防止に向けて取り組んでいる対策】
・外部サービスとの連携に使用する鍵の更新
・データベースのアクセス権限の見直しと、不正なアクセスを検知する仕組みの強化
・弊社で保有する個人情報の最小化
・第三者による脆弱性診断の実施

外部の専門機関による調査を実施し、その結果も踏まえて、再発防止策をあらためてご報告申し上げます。

Q. サービスの安全性は確保されていますか？
原因となった脆弱性の修正を終え、安全性の確認およびセキュリティ強化を実施したうえで、サービスを再開しております。今後も、会員の皆様に安心してご利用いただけるよう、継続して安全確認と監視を行ってまいります。

Q. 個人情報保護委員会へ報告していますか？
法令に基づき、10月8日に個人情報保護委員会へ速報を提出し、その後の調査で判明した内容もあわせて報告しております。また、警察へ通報し、捜査に協力しております。一般財団法人日本情報経済社会推進協会（JIPDEC）へも報告しております。関係機関と連携して今後の対応を進めてまいります。

■お問い合わせ窓口

会員の皆様に多大なるご迷惑とご心配をおかけしておりますことを、心より深くお詫び申し上げます。信頼の回復に向け、全社一丸となってセキュリティ体制の強化と再発防止に取り組んでまいります。

ご回答は平日（土日祝日を除く）10:00～18:00に順次行います。お問い合わせが集中している場合、ご回答までにお時間をいただくことがあります。あらかじめご了承ください。
お問い合わせ窓口 https://ssl.warau.jp/help/inquiry/?cid=538