株式会社キーラボのサービスPOINTQUICでの誤送信について（ジョイフィールドからのメール「ポンドの状態」についての推測）[追記・訂正あり]

はじめに

日本時間2018年2月7日に、私の買い物専用のメールアドレスの1つへ、不審なメールが届いている事を確認しています。本文には本名も含まれています。得られた情報から全体の流れが推測できましたのでまとめました（会社名やショップ名等敬称略ですのでご了承ください）。

注意：本記事の情報は得られた情報から推測したものであり、未確定の情報が含まれています。情報の伝達や拡散、問い合わせの際にはその点に注意した上で行ってください。新しい情報がわかり次第、適宜記事を更新します。

2018/2/7 23:25 追記あり

2018/2/8 0:48 追記・訂正あり

不審なメールの内容

以下の内容のメールが2通届きました(一部の情報を伏せています)。時間はそれぞれ日本時間(JST)で 2018/2/7 17:44:10 および 2018/2/7 17:43:52 でした。私自身はジョイ・フィールドを利用した事はなく、メルマガ等の登録もした事はありません。

差出人：ジョイ・フィールド <info@quic.jp>
件名：ポンドの状態

[本名]様、ジョイ・フィ-ルドのご利用ありがとうございます.ポンド内の報告を致します、7日のポンド状態をお知らせします、今年1番?の寒気が又入り水温は2.9度・外気温3.0度です、ポンド内外には氷は張っていません,放流は土曜日に(30cm以上を約100匹)予定しています。

今後とも宜しくお願いします。
[ジョイ・フィールドの問い合わせ先メールアドレス]
魚が釣れました上記のメールにメッセージ及び写真を送って下さい、ホームページに載せます。

メールヘッダ

メールヘッダは以下の通りです(一部***でマスクしています)。送信元がAWS上のホストである事やMessage-IDの生成規則等、2通の特徴は一致していました。

Return-Path: <info@quic.jp>
Received: (省略)
Received: from source:[210.140.89.12] helo:sv24.blayn.link.co.jp
          by mta-x01a.plala.or.jp with SMTP
          id <20180207084403.AQR20382.mta-x01a.plala.or.jp@sv24.blayn.link.co.jp>
          for <rsato.ec@photo.plala.or.jp>; Wed, 7 Feb 2018 17:44:03 +0900
Received: from ec2-***-***-***-***.ap-northeast-1.compute.amazonaws.com ([***.***.***.***])
          by cp.blayn.link.co.jp (The Lover 1.5.2) with SMTP ID 297
          for <***@***.plala.or.jp>;
          Wed, 7 Feb 2018 17:43:52 +0900 (JST)
Date: Wed, 7 Feb 2018 17:43:52 +0900 (JST)
From: =?UTF-8?B?44K444On44Kk44O744OV44Kj44O844Or44OJ?= <info@quic.jp>
To: ***@***.plala.or.jp
Message-ID: <***.***.***.JavaMail.root@pointquic-web>
Subject: =?ISO-2022-JP?B?GyRCJV0lcyVJJE4+dUJWGyhC?=
MIME-Version: 1.0
Content-Type: text/plain; charset=ISO-2022-JP
Content-Transfer-Encoding: 7bit

メール送信元の推測

メールの本文及びヘッダからメール送信元を推測します。

送信者名(ジョイ・フィールド)
送信元メールアドレスのドメイン(quic.jp)

送信者名(ジョイ・フィールド)

ジョイ・フィールドのWebサイトでは、2018年2月7日21時30分現在、以下の注意喚起を行っています。

自動配信メールにおいて当方以外の登録者にメールが配信される間違いが発生しました、今後こような事が起きないよう、サーバー取り扱い会社に申し入れしています。追伸サーバー取り扱い会社より間違いの経緯等のメールが個々に配信されます。

送信元メールアドレスのドメイン(quic.jp)

quic.jpは、株式会社キーラボが提供している「POINTQUIC」というポイントカードサービスを紹介するWebサイトのドメインです。

リライト式カードはもう古い！QRカードとiPadでポイントサービス導入

管理画面のデモサイトから、POINTQUICは会員へのメール配信機能がある事を確認しています。フォームは以下の通りで、送信元アドレス欄に本件の差出人メールアドレス(info@quic.jp)が予め入力されています。

推測されるメール送信の流れ

これまでの情報から、本件のメールは以下の流れで送信されたものと推測されます。

ジョイ・フィールドがPOINTQUICを使用している(前提条件)
何らかの理由により、POINTQUICのシステムで別のショップの会員情報が表示される状態となった→訂正：株式会社キーラボによる操作ミス
ジョイ・フィールドがPOINTQUICのメール送信機能を使用した→訂正：ジョイ・フィールドは本件に関与なし
これらによりメール誤送信が発生した

情報登録先の推測

先に記載した通り、私はジョイ・フィールドについて本件で初めて知りました。これまで関わりがなかったため、本件に記載されているメールアドレスおよび本名の情報は別の所から流れてきたと考えられます。これらの情報をどこで提供したかを推測します。

POINTQUICのカード

POINTQUICの標準的なカードは以下のようなデザインで、裏面にQRコードがあります(QRカードの概要から)。

手持ちの類似するカードの確認

どこかで見覚えがあったため、手持ちのカードを確認したところ、1枚だけ既成デザインカードに似ているカードがありました。

QRコードに格納されたデータはquic.jpドメインのURLでした。

DOLLCEのポイントカードはPOINTQUICを使用したものと推定できます。店頭での会員登録時には本件のメールが届いた私の買い物専用のメールアドレスを使用しました。そういえば、店員さんがiPadでPOINTQUICのアプリを使用していたと記憶しています。

推測される情報の登録先

POINTQUICを使用しているショップの一つであるDOLLCEが情報の登録先と推測されます（あくまで私の場合です）。

推測される全体の流れ

以下が推測される全体の流れです。

POINTQUICを使用しているショップで会員登録し、ポイントカードを受け取った
登録した情報がPOINTQUICシステムに登録された
何らかの理由により、POINTQUICのシステムで別のショップの会員情報が表示される状態となった→訂正：株式会社キーラボによる操作ミス
ジョイ・フィールドがPOINTQUICのメール送信機能を使用した→訂正：ジョイ・フィールドは本件に関与なし
これらによりメール誤送信が発生した

-- 2018/2/7 22:50 ここまで --

2018/2/7 23:25 追記

Twitterにてこのブログ記事をツイートしたところ、POINTQUIC(@nfcfelica)から以下の返信がありました。認証マークがないアカウントのため、公式Webサイトでお知らせ等が公開され次第、改めて追記します。

株式会社キーラボです。今回のメール誤送信は、弊社の操作ミスによるものです。全て弊社の責任です。ジョイフィールド様は、弊社のメール配信サービスを利用いただいていますが、今回の件では被害者であります。本日中に、事情説明とお詫びのメールを送信します。夜分遅くに申し訳ありません、
— POINTQUIC (@nfcfelica) 2018年2月7日

2018/2/8 0:48 追記

株式会社キーラボより、以下のメールが届きました(一部の情報を伏せています)。本件のメール誤送信は株式会社キーラボの操作ミスによるものであり、ジョイ・フィールドは関わっていないとの事です。また、登録されている会員情報等は漏洩していないとの事です。

差出人：POINTQUIC_株式会社キーラボ <info@pointquic.net>
件名：【メール誤送信のお詫び】夜分遅くに申し訳ありません

【メール誤送信のお詫び】
夜分遅くに申し訳ございません。
株式会社キーラボです。
メール配信サービス「POINTQUIC」を運用しております。
>> http://quic.jp

本日、弊社の操作ミスにより、
意図しないユーザーの方々にメールを誤送信いたしました。
深くお詫び申し上げます。

誤送信したメールの内容は、下記の通りです。
【１】メールタイトル
ポンドの状態
【２】送信元
ジョイ・フィールド
info@quic.jp
【３】メールの内容
xxxxxxxx 様
ジョイ・フィ-ルドのご利用ありがとうございます.ポンド内の報告を致します、7日のポンド状態をお知らせします、今年1番?の寒気が又入り水温は2.9度・外気温3.0度です、ポンド内外には氷は張っていません,放流は土曜日に(30cm以上を約100匹)予定しています。
今後とも宜しくお願いします。
[ジョイ・フィールドの問い合わせ先メールアドレス]
魚が釣れました上記のメールにメッセージ及び写真を送って下さい、ホームページに載せます。

メール配信誤送信は、弊社株式会社キーラボの操作ミスによるものです。
ジョイフィールド様は、弊社サービスのユーザーであり、本件においては全くの被害者であります。
責任は全て、弊社株式会社キーラボにあります。

なお、今回の誤送信において、お客様の個人情報は一切漏洩しておりません。
お客様のアドレスは、弊社の業務用メール配信サービス「POINTQUIC」のアカウントにおいて管理しています。
メールの送信先としてメールアドレスを指定していますが、お客様のメールアドレスはいかなる第三者にも渡っておりません。

本件に関するお問い合わせはこちらまで：　info@keylab.co.jp
誠実に対応させていただきます。

このようなことはあってはならないことであり、深く反省するとともに、
今後の再発防止に最大限の努力であたっていく所存です。

誠に申し訳ございませんでした。深く反省申し上げます。

**************************************
東京都港区赤坂8-6-17
株式会社キーラボ
http://www.keylab.jp
e-mail ： info@keylab.co.jp
**************************************

R SATO Weblog