電子書籍ストア「コミックシーモア」を運営する NTT ソルマーレは10月16日、会員情報を管理するシステムへの不正アクセスで、一部の会員の情報が外部に流出したことを確認したと発表した。流出が確認されたのは、メールアドレス、ハッシュ化されたパスワード、生年月日、性別、ニックネームの5項目だ。
このサイトでは先に、サービス停止の段階を伝えた。そのときは個人情報が外に出たかどうかが分かっていなかったが、今回、流出が確認され、項目も示された。件数はまだ精査中だ。
確認されたこと、まだのこと
同社は10月15日午前11時35分、外部からの不正アクセスの可能性が高いと判断してサービスを止めた。翌16日の調査で、会員情報のシステムへの侵入と情報の流出を確かめている。
- 流出を確認: メールアドレス、ハッシュ化されたパスワード、生年月日、性別、ニックネーム
- 流出していない: クレジットカード情報 (このシステムでは持っていない)
- 現時点で確認されていない: 購入履歴の流出、「MY本棚」の流出・消失・欠損
- 公表されていない: 対象の件数、原因と侵入経路、サービスの再開日
購入した本が消えたという確認はなく、本棚の中身は今のところ無事とみられる。ただし再開の日時は示されていない。
ハッシュ化パスワードが意味すること
ハッシュ化は、パスワードを元に戻しにくい文字列に変えて保存する方法で、同社は「そのままでは読み取りはできない」と説明している。ただ、変換の方式によっては、よく使われる単純なパスワードほど推測で突き止められる危険が残る。メールアドレスと組で流出している以上、同じ組み合わせを他のサービスで使っていれば、そちらが狙われる可能性がある。
同社も、流出したメールアドレスとパスワードの組み合わせを他社のサービスで使っている場合は、そのサービスのパスワードを変えるよう求めている。サービスの再開時には、全会員にパスワードの再設定を求める予定だ。
いま利用者が選べること
コミックシーモアのパスワードは、サービスが止まっているあいだは変えられない。先にできるのは、外側の守りだ。
- 同じメールアドレスとパスワードを使っている他のサービスで、パスワードを変える
- コミックシーモアや NTT ソルマーレを名乗るメールのリンクや添付ファイルを開かない。再開やパスワード再設定を口実にした偽のメールが出てもおかしくない時期になる
- 生年月日やニックネームを、他のサービスの秘密の質問の答えに使っていないか見直す
使い回しの点検は、どのサービスでパスワードが同じかを思い出すところから始まる。数が多い人ほど手間はかかるが、パスワード管理の道具を入れて洗い出す機会にもなる。
次に確かめたいのは、NTT ソルマーレのニュースリリースのページに出る続報だ。件数、原因、サービス再開の日時とパスワード再設定の手順は、そこで示される。
ことば
- ハッシュ化 — パスワードを、決まった計算で元に戻しにくい文字列に変えて保存する方法。漏れてもすぐには使えないが、単純なパスワードは総当たりで当てられることがある。
- パスワードの使い回し — 同じメールアドレスとパスワードの組を複数のサービスで使うこと。1つが漏れると、ほかのサービスにも同じ組でログインを試される。
再開の案内が届いたとき、あなたはそれが本物かどうかを、どこで確かめるだろうか？
