京成電鉄は11月13日、スカイライナーの座席予約システムが11月11日の深夜に第三者から不正アクセスを受けたと公表した。スカイライナーチケットレスサービスの利用者の情報が最大約337万件取得された可能性があり、ユーザーID・パスワード・カナ氏名・電話番号・メールアドレスが含まれる。
成田空港へ向かう特急をネットで予約したことのある人は、自分が対象かどうかと、今週の移動をどう組むかの 2 つを見ておきたい。ネット予約は今も止まっている。
取得されたかもしれない 5 つの項目
京成電鉄のお知らせが挙げたのは次の 5 項目だ。
- ユーザーID
- パスワード
- カナ氏名
- 電話番号
- メールアドレス
パスワードについて同社は、暗号化されているため第三者に復元されることはないと説明している。どの方式で暗号化していたかは書かれていない。お知らせの言い方は「取得された可能性」で、件数の約337万件も最大値だ。クレジットカードの番号は、挙げられた項目に入っていない。
残る組み合わせを見ると、カナ氏名・電話番号・メールアドレスがそろっている。スカイライナーを使ったことがあるという事実と合わせれば、払い戻しや予約の確認を装ったメールや SMS は作りやすい。予約サービスが止まっている今は、「再開のお知らせ」や「払い戻しの手続き」を名乗る連絡が本物らしく見えやすい時期でもある。
個別の連絡は登録メールに来る
京成電鉄は、対象の利用者には後日、登録されているメールアドレスに個別に連絡するとしている。届いた連絡が本物かどうかは、メールの中のリンクや電話番号ではなく、同社の公式サイトのお知らせ欄と問い合わせ窓口で照らし合わせるのが確実だ。窓口の電話番号は 090-3248-4609 で、受付は平日の午前9時30分から午後5時まで、11月14日と15日は午前10時から午後3時までとされている。
パスワードは復元されないという説明を前提にしても、同じパスワードを別のサービスで使い回しているなら、この機会に変えておく手間は小さい。変えるのは使い回している側のサービスだ。スカイライナーの予約サービスは、いまは利用そのものが止まっている。知らせが届いてからの順番は、漏えいの知らせが来たらやること、順番つきの手順にまとめてある。
今週、空港へ向かう人の切符
京成電鉄は不正アクセスの公表より 1 日早い11月12日、セキュリティ強化のための緊急メンテナンスとして、次のサービスを一時中止した。
- スカイライナーチケットレスサービス
- Skyliner e-ticket (顔認証システムを含む)
- 旅行代理店でのスカイライナー券の購入
スカイライナー券は駅の窓口と券売機で引き続き買える。すでにネットで買っていた人は、駅で券を別に買い、ネットで購入済みであることを駅係員に伝えれば、後日払い戻しを受けられる。クレジットカードの取り消しが反映されるまでには時間がかかるとされている。出発の朝に駅で並ぶ時間を見込んでおくのが、今週の現実的な組み方になる。
13日の時点で書かれていないこと
攻撃の手口、何年前までの登録が含まれるのか、個別の連絡がいつ届くのか、予約サービスがいつ再開するのか。どれもお知らせには書かれていない。
次に確かめる先は、京成電鉄の公式サイトの「お知らせ・ニュースリリース」欄だ。予約サービスの再開の告知と、個別連絡の開始がここに出るかを見ておきたい。登録メールアドレスの受信箱で、京成電鉄からの連絡が迷惑メールに振り分けられていないかも合わせて見ておくとよい。
ことば
- チケットレスサービス — 紙の特急券を受け取らず、ネットで座席を予約・購入してそのまま乗車できる仕組み。スカイライナーでは会員登録が前提で、今回はその会員情報が対象になった。
- 暗号化 — データを決まった手順で読めない形に変えて保存すること。方式によって安全性は違い、今回のお知らせは方式を示していない。
成田へ向かう予定のある人は、駅で並ぶ時間と、届くメールを確かめる時間を、どこに組み込むだろうか？
