電子書籍ストア「コミックシーモア」を運営する NTT ソルマーレは10月21日、不正アクセスによる情報流出の第4報を出し、件数を初めて示した。会員データベースから流出したのは319件で、ハッシュ化 (元の内容を読み取れない形への変換) されたパスワードを含む。別にシステムのログファイルから、パスワードを含まない情報が最大約420万件流出した。
件数が出たことで、自分に通知のメールが届くかどうか、届いたら何をするかが具体的な問いになった。このサイトでは先に、流出の確認と5項目を伝えた。ここでは第4報で新しく分かったことと、利用者の側で選べることを整理する。
319件と最大約420万件は、別の場所から出た
第4報は、流出した情報を出どころで二つに分けている。
- 会員データベースの登録情報 (319件): メールアドレス、ハッシュ化されたパスワード、ニックネーム、生年月日、性別
- システムログファイル上の情報 (最大約420万件): メールアドレス、ニックネーム、生年月日、性別。パスワードは含まれない
ログ側の約420万件は、420万人という意味ではない。同じ利用者の情報が重複して数えられている可能性があると同社は書いており、項目も利用者ごとに違い、全員の4項目が出たわけではない。第3報 (10月18日) の時点で、ログファイルも閲覧・取得されたことは分かっていた。今回はその精査の結果が数字になった形だ。
クレジットカード情報はこのシステムになく、流出していない。購入履歴の流出や「MY本棚」の流出・消失・欠損も確認されていない。侵入経路と攻撃手法は特定して遮断を終えたとするが、その中身は公表されていない。
パスワードが無くても残る危険
319件に入る人は、前回と同じく、パスワードの使い回しが最大の問題になる。同じメールアドレスとパスワードの組を他のサービスで使っていれば、そちらで不正ログインを試される。
約420万件のログ側は、パスワードが無いぶん、すぐにアカウントを乗っ取られる話ではない。それでも、メールアドレスにニックネームと生年月日が結びついた情報は、偽メールを本物らしく見せる材料になりうる。ストアで使っている呼び名で呼びかけてくるメールでも、それだけで本物とは言えない。生年月日を他のサービスの「秘密の質問」の答えにしている人は、そちらも見直したほうがいい。
本物の通知と偽メールが、同じ時期に届く
同社は、①と②に当たる利用者にメールで連絡するとしている。一方で同じ第4報の中で、同社などを装った偽メールへの注意も呼びかけている。つまりこれからしばらく、本物の通知と偽物が同じ受信箱に並ぶ。
見分けを差出人の表示だけに頼らない方法はいくつかある。
- メールのリンクは開かず、NTT ソルマーレのニュースリリースのページを自分で開いて内容を照らす
- メールの中でパスワードやカード番号の入力を求められても、入力しない。第4報は、再開時に全員へパスワードの再設定を求める予定と書いているが、手順は再開時に知らせるとしている
- 迷ったときの問い合わせ先は、第4報に書かれたサポートセンターのアドレス (info@nttsolmare.com) を使う
手間がかかるのは使い回しの洗い出しだ。どのサービスで同じパスワードを使ったかを思い出せない人ほど時間がかかる。パスワード管理の道具を入れれば一覧で見つけやすくなるが、登録し直す手間は残る。コミックシーモア自体のパスワードは、サービスが止まっている今は変えられない。
再開は閲覧から、課金は止まっている
サービスの再開日はまだ決まっていない。同社は、購入済みの作品の Web での閲覧と、読み放題の閲覧を最優先で戻すとしている。作品の購入や各種の決済は、安全が確かめられたものから順に再開する予定だ。
お金の面も書かれている。読み放題や月額のメニューは、使えなかった期間に自動で引き落とされることは基本的にない。一部の決済手段では引き落とされる場合があり、その利用者には個別に対応する。使えなかった期間に期限が切れたポイントは、再開時の再付与などを検討中で、お詫びの対応も再開時に知らせるという。
次に確かめる一点は、NTT ソルマーレのニュースリリースのページに出る再開の告知だ。再開の日付と、パスワード再設定の手順はそこで示される。届いたメールより先に、そのページを見るかどうかで、偽メールに当たる確率は変わる。
ことば
- システムログファイル — サーバーが動作の記録として残すファイル。本来は障害の調査などに使うが、処理の途中で扱った利用者の情報が書き残されることがあり、今回はそこからも情報が取られた。
- フィッシング — 実在の会社を装ったメールなどで偽のサイトへ誘い、パスワードやカード番号を入力させる手口。流出の直後は、通知やお詫びを口実にしたものが増えやすい。
通知のメールが届いたとき、あなたはまずどこを開いて、それが本物かを確かめるだろうか？
