富士急ハイランドは10月20日、公式アプリと会員サイト「CLUB フジQ」で、159 人の会員アカウントに不正ログインがあったと発表した。期間は 9 月 4 日から 9 月 7 日までで、ほかで手に入れたメールアドレスとパスワードの組を次々に試す「リスト型攻撃」によるものだという。
サーバーへの侵入や会員データの一括流出は確認されていない。それでも、ログインされたアカウントでは氏名や電話番号が見られた可能性がある。原因が使い回しのパスワードである以上、自分のアカウントが対象でなかった人にも、確かめておく価値のある話だ。
見られた可能性がある情報
発表によると、対象の 159 人全員について、次の情報が閲覧された可能性がある。
- 氏名、メールアドレス、生年月日、性別、電話番号、郵便番号、都道府県、会員番号
一部の人については、これに加えて購入履歴、チケット情報、クレジットカード関連の情報の一部 (番号の一部、有効期限、名義) も含まれる。カード番号の全体とセキュリティコードは含まれないと同社は明記している。不正な購入や決済、会員情報の書き換え、チケットの不正利用といった被害は、現時点で確認されていない。
同社は不正ログインされたアカウントのパスワードを初期化し、監視を強めた。個人情報保護委員会と富士吉田警察署に報告し、対象の人には個別にメールで連絡したという。不正ログインから発表までは、6 週間ほどあいている。
リスト型攻撃が狙うもの
リスト型攻撃は、富士急ハイランドのシステムを破るのではなく、別の場所で漏れたメールアドレスとパスワードの組で「正面から」ログインする手口だ。同じ組をいくつものサービスで使っていると、どこか 1 か所の漏えいが、ほかのサービスの扉も開けてしまう。
今回のように、カード番号の一部と有効期限、名義、電話番号がそろうと、本物らしく見える偽の問い合わせの材料になりうる。同社は、当社を装った不審なメールや SMS、電話に注意するよう呼びかけ、パスワードやクレジットカード情報を尋ねることはないとしている。
いま選べること
同社が利用者に求めているのは、パスワードの変更と、同じパスワードを使う他のサービスでの変更だ。そのうえで、自分で選べる手はいくつかある。
- CLUB フジQ のパスワードを、他のどこでも使っていないものに変える
- 同じ組を使っているサービスを洗い出し、重要なもの (メール、買い物、カード会社) から順に変える
- 二段階認証が使えるサービスでは有効にする
- 富士急ハイランドを名乗る連絡は、メールのリンクではなく公式サイトから確かめる
- カードの利用明細を、次の締め日まで少し気にかけておく
いちばん手間がかかるのは洗い出しだ。使っているサービスが多い人ほど思い出すのが難しく、パスワード管理の道具を入れるかどうかの判断もここで迫られる。
新しい事実が分かれば、富士急ハイランドは公式サイトのお知らせで速やかに発表するとしている。個別メールが届いていない会員も、そのお知らせページで続報の有無を確かめておきたい。
ことば
- リスト型攻撃 — どこかで漏れたメールアドレスとパスワードの組を一覧にし、別のサービスで次々にログインを試す攻撃。サーバーを破らなくても、使い回しがあれば入れてしまう。
- 二段階認証 — パスワードに加えて、スマホに届く番号や専用アプリなど 2 つ目の確認を求める仕組み。パスワードが漏れても、それだけではログインされにくくなる。
あなたが同じパスワードを使っているサービスは、いくつ思い浮かぶだろうか？
