アンケートに答えてポイントをためるサイト infoQ を運営する GMOリサーチ&AI は10月14日、不正アクセスの第2報を出し、個人情報が持ち出された件数を89万4,082件と確定した。10月5日の第1報では「最大94万8,498件」としていた数字が、調査で絞り込まれた形だ。
GMOリサーチ&AI の第2報 (確定件数・漏えい項目・経緯・会員への依頼・ポイント補填)GMOリサーチ＆AI
数字が小さくなっても、会員がやることは変わらない。持ち出された項目の中に、他のサービスへの入り口になりうるものが含まれているからだ。何が漏れ、何が漏れていないのかを第2報の範囲で整理し、手を動かす順番を考える。
第2報で確定した数字
第2報は、第1報で対象とした会員の記録を3つに分けている。
- 個人情報が持ち出された: 89万4,082件
- 持ち出されたが個人情報を含まない: 9,068件。退会から2か月を過ぎ、プライバシーステートメントに沿ってすでに個人情報を消していた会員の記録
- 持ち出されていない: 4万5,348件
持ち出された項目は、氏名とふりがな、性別、生年月日、メールアドレス、住所、電話番号、暗号化されたパスワード、会員 ID、そしてニックネームやポイント残高、最後にアンケートに答えた日などの利用情報だ。クレジットカード情報とマイナンバーは、そもそも同社が持っていないため含まれていない。取引先の情報も対象外で、infoQ 以外の同社サービスへの不正アクセスは確認されていないという。
侵入の経路は、サイトで使っていたソフトウェアの脆弱性だった。不正アクセスは10月2日に始まり、翌3日に会員からの問い合わせで発覚した。同日中にポイント交換を止め、外部からの接続を切ってサービスを停止している。7日には全会員のパスワードを無効にした。
漏れた項目から見える、次に来るもの
ポイントの被害はすでに出ている。611件のアカウントで、会員の知らないうちにポイントが Amazon ギフトコードに交換され、合計は286万9,500円分にのぼる。同社は全額を補填し、サービス再開時にポイントを戻したうえで、対象者に個別にメールで知らせるとしている。
気をつけたいのは、これから先の使われ方だ。名前・住所・電話番号・メールアドレスがそろうと、本物らしく見える連絡が作りやすくなる。同社も、自社や infoQ を名乗る不審なメール・SMS・電話に注意するよう呼びかけている。
パスワードは暗号化されていた。それでも同社は、infoQ と同じか似たパスワードを他のサービスで使っているなら変えるよう求めている。暗号化がどこまで持ちこたえるかを、会員の側から確かめる方法はない。使い回しがあるなら、変えておくほうが早い。
会員が手を動かす順番
第2報が会員に求めていることを、手間の軽い順に並べると次のようになる。
- infoQ と同じか似たパスワードを使っているサービスを思い出し、パスワードを変える。あわせて、身に覚えのないログインがないかを見る
- infoQ や GMOリサーチ&AI を名乗るメール・SMS・電話は、本文のリンクを開かず、公式サイトから確かめる
- 自分のアカウントで身に覚えのないポイント交換があれば、infoQ サポートセンター (infoq-support@gmo-research.ai) に連絡する。返信は平日10時から18時
1番目がいちばん重い。長く使ってきたパスワードほど、どこで使ったかを覚えていない。メールの受信箱で「登録完了」や「ログイン通知」を検索すると、使っているサービスの見当がつきやすい。全部を一度に変えられないなら、お金や買い物に直結するサービスから先に変えるのが現実的だ。
まだ分かっていないこと
infoQ は停止したままで、再開の時期は示されていない。同社は、外部のセキュリティ会社との調査を終え、対策を講じて安全を確かめてから再開するとしている。調査結果と再発防止策は後日公表され、再開時のパスワード再設定の手順もそのときに案内される予定だ。
次に確かめる先は、GMOリサーチ&AI の公式サイトのお知らせ欄に出る第3報以降だ。どのソフトウェアのどの弱点が使われたのか、再開時に何をすればよいのかが、そこで示されるはずだ。
ことば
- infoQ — GMOリサーチ&AI が運営するアンケートサイト。回答するとポイントがたまり、ギフトコードなどに交換できる。今回はそのポイントの一部が、会員の知らないうちにギフトコードへ交換された。
- 暗号化されたパスワード — 保存されたパスワードを、そのままでは読めない形に変えたもの。持ち出されても直ちに読まれるわけではないが、方式や強さは利用者の側からは分からないため、使い回しがあれば変えておくのが安全とされる。
あなたが infoQ と同じパスワードを使っているサービスは、いくつ思い浮かぶだろうか？
