英語学習サービス「abceed」を運営する Globee は10月20日、関連システムへの不正アクセスで、1 万 834 アカウントのメールアドレスとハッシュ化されたパスワードが漏えいした可能性があると発表した。うち 90 アカウントは、ユーザー名も対象に含まれる。
abceed は学校や企業でも使われている英語学習アプリだ。同社は対象者へメールで個別の連絡を進めており、不正利用などの影響はまだ調べている段階にある。
発表で分かったこと
同社が不正アクセスを検知したのは 10 月 17 日。調査の結果、関連システムの設定などを悪用した不正アクセスだったことを確かめたという。
- 漏えいした可能性がある情報: メールアドレスとハッシュ化されたパスワード (1 万 834 アカウント)、ユーザー名 (90 アカウント・1 万 834 の内数)
- 数え方: いずれもアカウントの数で、実際の人数は確認できていない
- 同社の対応: 不正アクセスの経路を遮断し、該当する機能を止めた。関連システムの認証情報を変え、不正が疑われるログイン状態を解除した。個人情報保護委員会へ報告した
- まだ分からないこと: 原因と影響範囲の全体、不正利用の有無、業績への影響
開示文は、クレジットカード情報が対象に含まれるかどうかには触れていない。また利用者へのお願いとして挙げているのは不審なメールへの注意で、パスワードの変更は項目に入っていない。
ハッシュ化されていても残る心配
ハッシュ化は、パスワードを一定の処理で元に戻しにくい値に変えて保存する方法だ。同社も、ハッシュ化されたパスワードは元のパスワードを変換した値だと説明している。ただ、変換の方式は開示されていない。一般に、短いパスワードやよく使われる単語のパスワードほど、総当たりで元の文字列を当てられる危険が残る。
心配の中心は abceed そのものより、同じメールアドレスとパスワードの組を使っている他のサービスにある。学校や会社の指定で登録したアカウントは、自分で選んで作ったものより、パスワードの見直しが後回しになりやすい。
いま選べること
同社は、同社や関係する企業を装った不審なメールに注意し、心当たりのない連絡の URL や添付ファイルを開かず、公式アプリや公式サイトから確かめるよう求めている。メールや電話でパスワードやクレジットカード情報を尋ねることはないとしている。そのうえで、自分で選べる手はこうなる。
- abceed のパスワードを、他のどこでも使っていないものに変える
- 同じ組を使っている他のサービス、とくにメールやネット通販のパスワードを変える
- 個別連絡のメールが届いたら、リンクを押さずに公式アプリから中身を確かめる
- 学校や会社の指定で使っている人は、案内がまとめて届くことがあるので、担当の窓口にも確認する
個別連絡は「進めている」段階で、届くまでに時間がかかる人もいる。次に確かめたいのは、Globee の適時開示と abceed の公式サイトに出る続報だ。原因と影響範囲の全体、パスワードの再設定を求めるかどうかは、そこで示される。
ことば
- ハッシュ化 — パスワードを、決まった計算で元に戻しにくい値に変えて保存する方法。漏れてもすぐには使えないが、単純なパスワードは推測で当てられることがある。
- 適時開示 — 上場企業が、株価や取引先に影響しうる出来事を、決められた仕組みで速やかに公表すること。今回の発表も、東京証券取引所の開示として出された。
学校や会社に言われて作ったアカウントのパスワードを、あなたは最後にいつ見直しただろうか？
