メルカリの個人情報流出の対象に入っているか確認する方法と注意点

メルカリに登録してある住所や銀行口座などの情報が、第三者から閲覧可能な状態になっていた問題が、6月22日に発生しました。

自分のアカウントにログインしたはずが、他人の個人情報が表示されてしまう、というような不具合です。

この問題の影響を受けたユーザーは約5万4千人とされています。

参考：「メルカリ」の個人情報漏えい、原因はCDNキャッシュの仕様、技術的な詳細情報を公表 -INTERNET Watch

この問題の対象ユーザーかどうかを確かめられる特設ページが、問題発生の翌日夕方頃、公開されました。

そのページはこちらです：「https://www.mercari.com/jp/mypage/check_information/」

そのページを開いたら、まず最初にメルカリアカウントへのログインが要求されるので、メールアドレスとパスワードを入力するなどして、ログインしてください（Googleアカウント・Facebookアカウントとの連携でログインしている場合は、そちらを利用してください）。

すると次のように、結果が表示されます。

この例では、対象外との結果です。

○○さんは直接的に個人を特定し得ると考えられる情報(住所・氏名・メールアドレス)が閲覧できる状態は確認できませんでした。

詳細は[ニュース一覧]よりご確認ください。

しかしこの結果の文章を見ればわかるとおり、このチェックページで確認対象となっているのは、「住所・氏名・メールアドレス」の流出可能性があったかどうかについてのみです。そのため、対象者は29,396名（当初は459人と発表されていた）となります。

直接的に個人を特定し得ると考えられる情報(住所・氏名・メールアドレス)が閲覧できる状態になっていた可能性があるお客さま：29,396名 （引用元）

影響があった全体数「5万4千人」とは開きがあります。この差分に当たる約2万4千人は、

・その他のお客さま情報（他の情報と組み合わせることで個人の特定は可能ですが、単体で直ちに悪用されるとは考えにくいもの）
銀行口座番号・クレジットカードの下4桁と有効期限　(※登録しているお客さまのみ）、購入・出品履歴、ポイント・売上金、お知らせ、やることリスト （引用元）

の情報のみが流出した可能性にとどまるため、「直接的に個人を特定し得ると考えられる情報」をチェックする先ほどのページの対象外とされています。

つまり、今回閲覧できてしまっていたWeb版のメルカリでは常にアカウント名が表示されているため、「あのアカウントの人が、あんなものを購入していたのか」ということが分かってしまう可能性は、たとえチェックページで対象外だと表示されたとしても、残ります。

そのアカウント名を他のサービスと使い回していたり、実名を公開して運用していた場合は、具体的に「○○さんが、あんなものを買っていたらしい／出品していたらしい」というところまで突き止められてしまう可能性があります。このあたりについては、先ほどのページでは対象に含まれているかどうか確認できないので、気になる場合は個別にメルカリ運営に問い合わせたほうがよさそうです。