ゲーム関連会社の H2INT は10月28日、運営する通販サイト「DIRECT GAMES」が第三者の不正アクセスを受け、会員のメールアドレス、暗号化されたパスワード、氏名、生年月日、注文履歴が外部に漏えいしたと発表した。不正アクセスは10月17日から18日にかけて行われ、18日に漏えいが判明したという。
漏えいした会員の人数は公表されていない。同社は全会員にパスワードの再設定を案内しており、登録したことがある人は、自分も対象に含まれる前提で動くのが早い。
漏れた5項目と、漏れていないカード番号
漏えいしたのは、会員 ID として使うメールアドレス、暗号化された状態のログインパスワード、氏名（漢字・カナ）、生年月日、注文履歴の5項目だ。氏名と生年月日は会員登録の際に任意で入力するものだったため、実際の情報と一致しない場合もあると同社は説明している。
クレジットカード番号は、同社がもともと保持していないため漏えいしていないという。本件に起因する不正利用などの二次被害も、発表時点では確認されていない。
原因について同社は、第三者による不正アクセスと確認したうえで、侵入が可能になった経緯や詳しい原因は外部の専門機関と連携して調べるとしている。個人情報保護委員会への報告は済ませた。サイトは10月23日から緊急メンテナンスに入っており、すべてのサービスの利用が一時的に止まっている。
パスワードが暗号化されていても、変えておく理由
パスワードは暗号化された状態で保存されていた。それでも同社は、他のサービスで同じメールアドレスとパスワードの組み合わせを使っている場合や、推測されやすいパスワードを使っている場合は、すぐに変更するよう求めている。
漏れたメールアドレスとパスワードの組を別のサイトのログイン画面に試す手口では、使い回しが一か所あるだけで被害が広がる。DIRECT GAMES 自体の再設定は、サイトが止まっている間は同社の案内を待つことになる。一方、同じ組み合わせを使っている他のサービスの変更は、今日のうちに自分で済ませられる。
注文履歴が含まれている点も見落とせない。いつ何を買ったかを知っている相手からのメールは、本物の店からの連絡に見えやすい。同社は、同社やサービスを装った不審なメールに注意し、本文の URL を開く、添付ファイルを開く、会員情報やパスワードを入力するといった操作をしないよう呼びかけている。同社がメールや電話でパスワードを尋ねることはないという。
今日やること、まだ分からないこと
手元でできることは3つに絞れる。
- 同じメールアドレスとパスワードの組を使っている他のサービスで、パスワードを変える
- 過去の注文や氏名に触れた「確認」「返金」のメールが届いても、本文のリンクからは開かない
- DIRECT GAMES の再開後、案内に沿ってパスワードを再設定する
ただし、使い回しを洗い出すには、どのサービスに同じ組を使ったかを覚えている必要がある。パスワード管理アプリを使っていなければ、ここがいちばん手間のかかる作業になる。一度に全部を変えられないなら、決済情報を登録しているサービスと、メールアカウントそのものから先に手を付けたい。
漏えいした人数、侵入の経路、サイトの再開時期は、いずれも発表に書かれていない。同社は対象の顧客へのメールでの案内を続けるとしている。次に見ておきたいのは、H2INT のニュースページに出る続報と、DIRECT GAMES のメンテナンス明けの告知だ。原因の調査結果と人数が示されるかどうかが、ひとつの目安になる。
ことば
- パスワードリスト型攻撃 — どこかで漏れたメールアドレスとパスワードの組を、別のサービスのログイン画面に機械的に試す手口。同じ組を複数のサービスで使っていると、一か所の漏えいが別のアカウントの乗っ取りにつながる。
- 暗号化されたパスワード — 保存時に、そのままの文字列では読めない形に変えたもの。直ちに元のパスワードが知られるわけではないが、今回も同社は全会員に再設定を案内している。
あなたが DIRECT GAMES と同じパスワードを使っているサービスは、いくつ思い浮かぶだろうか？
