日本郵政は10月19日、同社が提供するアカウント「ゆうID」で第三者による不正ログインが249件あったと公表した。入られたのはポイントサービス「ゆうゆうポイント」の公式サイトで、氏名、住所、生年月日、電話番号などが閲覧された可能性がある。
同社はパスワードの再設定に加え、パスキーの設定と二段階認証の必須化を順次案内する。パスワード1つで入れる仕組みを、利用者全体で1段厚くする対応だ。
何が起きたか
10月15日、ゆうゆうポイントのサイトで不審なアクセスが見つかった。調べると、外部で漏れたIDとパスワードの一覧を使って、第三者がゆうIDの会員になりすましてログインしていた。同社は翌16日からサイトを止めている。
閲覧された可能性がある情報は次のとおりだ。
- 氏名、住所、生年月日、性別、電話番号、メールアドレス
- 登録していれば、勤め先の情報、家族の状況、住所録に登録した宛先
同社は、9月29日に公表した郵便局アプリへの不正アクセスで取得されたゆうIDとは重複していないとしている。自社のシステムから情報が漏れたことは、現時点で確認されていない。不審なIPアドレスからの通信は遮断し、対応を終えてからは新たな不正アクセスは確認されていないという。
自分のアカウントがなくても、住所が載っていることがある
公表文の注記に、見落としやすい一行がある。249件のうち1件のアカウントが持っていた住所録の情報83件が、不正に取得された可能性があるというものだ。
住所録に入っているのは、多くの場合は自分以外の人の住所だ。自分はゆうIDを作っていなくても、家族や知人の住所録に入っていれば、名前と住所が相手のアカウントと一緒に外へ出うる。パスワードの管理は自分でできても、他人の住所録に載ることは自分では決められない。
該当する人には、日本郵政が電話などで順次連絡している。
いま確かめること
ゆうIDを使っている人は、次の点を見ておきたい。
- 届いた案内メールに沿って、パスワードと登録メールアドレスを再設定する。パスキーと二段階認証の設定もここで済ませる
- ゆうIDと同じパスワードを他のサービスでも使っていれば、別のものに変える
- 日本郵政やグループ会社を名乗って、電話やメールでパスワードやクレジットカード番号を聞いてくる連絡には応じない。同社はそうした問い合わせをしないとしている
手間もある。二段階認証は、ログインのたびにスマートフォンに届くコードの確認などが増える。パスキーは対応する端末と設定が要り、機種変更のときには移し替えを意識することになる。正規の案内メールが一斉に届く時期は、それをまねた偽メールも紛れやすい。届いたメールのリンクを踏む代わりに、ゆうIDの公式ページを自分で開いてログインし、そこで設定する方法もある。
次に確かめる先は、日本郵政から順次届く再設定の案内と、同社サイトでのゆうゆうポイントのサイト再開の知らせだ。問い合わせは日本郵便のお客様サービス相談センター (0120-23-28-86、平日9時〜18時) が受けている。
ことば
- ゆうID — 日本郵政が提供するネットサービス用のアカウント。今回のゆうゆうポイントのサイトも、9月29日に不正アクセスが公表された郵便局アプリも、このIDでログインする。
- パスキー — パスワードの代わりに、スマートフォンやパソコンの指紋・顔認証などでログインする仕組み。使い回しや偽サイトへの入力が起きにくい。
家族の住所を、あなたはどのサービスの住所録に預けているだろうか？
