ゲームのアカウントやデータを個人どうしで売り買いするサイト「ゲームトレード」を運営する株式会社ゲームトレードは10月29日、不正アクセスについての第2報を出した。前日の第1報で挙げた氏名・住所・電話番号などに加え、銀行口座、取引上のメッセージ、デジタルギフトコードも漏えいした内容に入った。件数は調査中だという。
ゲームトレード 第2報 (10月29日・原因、漏えいした内容、流出していないもの、実施済みの対応)ゲームトレード
売上を受け取るための口座や、手元のギフトコードまで外に出たかもしれない。会員にとっては、パスワードを変えるだけでは済まない知らせになった。
1日で広がった対象
第1報 (10月28日) によると、同社は10月27日に不正アクセスを検知し、すぐにそのアクセスを遮断した。翌28日に社内に対策本部を置き、登録された顧客情報の一部が漏えいした可能性が分かったとして、同日に警察と個人情報保護委員会へ報告した。この時点で挙げていた項目は、電話番号・メールアドレス・氏名・生年月日・性別・住所・ハッシュ化されたパスワードだった。
第2報は、漏えいした内容を次のように並べている。
- メールアドレス
- 電話番号
- 銀行口座
- 生年月日
- 住所
- ハッシュ化したパスワード
- 取引上のメッセージ
- デジタルギフトコード
原因は Web システムにあった脆弱性で、攻撃者はそこから入り込み、システムの中で見つけた情報を使ってデータベースとファイルの保管場所にアクセスしていたという。一方、クレジットカード番号は流出していないとしている。同社はカード番号の全桁とセキュリティコードをそもそも持たない仕組みにしており、運転免許証などの本人確認書類とマイナンバーも流出していないと分かったという。
同社は、不正アクセス元からの通信を遮断し、悪用された認証情報を無効にし、原因の脆弱性を直した。会員のログイン状態も解除し、ログインに使う情報を再発行している。
口座とギフトコードは、パスワードとは別に考える
同社が会員に求めているのは3つだ。ゲームトレードでパスキー認証を登録すること。同じメールアドレスとパスワードの組み合わせを他のサービスで使っているなら、そちらのパスワードを変えること。同社を装った不審なメール・SMS・電話に注意すること。同社は、パスワードや SMS の認証コードを尋ねることはないと明記している。
この3つはログインを守る手当てだ。第2報で加わった口座とギフトコードには、別の備えが要る。
第2報は、どういう場面で登録された口座の情報かまでは書いていない。口座番号が知られただけで預金が引き出されるわけではないが、氏名・住所・電話番号と組み合わせると、銀行や同社を名乗る連絡に説得力を持たせられる。「返金の手続き」「口座の確認」をうたう電話や SMS が来ても、その場で答えないことが基本になる。登録していた口座の入出金明細を、しばらくこまめに見ておくのも手だ。
デジタルギフトコードについては、同社は「入金申請」の手続きでギフトコードを発行している。ギフトコードは番号そのものが価値を持つ。受け取ったまま使っていないコードがあるなら、発行元のサイトで残高を確かめておくと安心だ。ただ、コードの扱いについて同社はまだ何も案内していない。
問い合わせは混み合っている
窓口は同社の問い合わせフォームで、「サービス：ゲームトレードに関するお問い合わせ」から「項目：その他」を選ぶ。ただ同社は29日、問い合わせが多く、返信に通常より時間がかかっているとも告知している。
自分の情報がどこまで含まれるのか、口座やギフトコードについて同社がどう対応するのか。それが分かるのは、ゲームトレードの「運営からのお知らせ」に出る次の報告だ。同社は新しい事実が分かりしだい公表するとしており、件数もそこで示されるはずだ。
ことば
- ハッシュ化されたパスワード — パスワードを、元に戻しにくい別の文字列に変換して保存したもの。そのまま読まれるよりは安全だが、単純なパスワードは総当たりで割り出される場合があるため、同じパスワードを使う他のサービスの変更が勧められる。
- パスキー — 指紋や顔、端末のロック解除を使ってログインする方式。パスワードを打ち込まないため、偽サイトに入力して盗まれることが起きにくい。
登録した口座や手元のギフトコードについて、あなたは同社の続報を待つだろうか、それとも先に確かめにいくだろうか？
