オンライン麻雀「Maru-Jan」を運営するシグナルトークは11月7日、外部からの不正アクセスで会員185万5578人分のメールアドレスとパスワードが流出したと発表した。対象は Maru-Jan の全会員で、同社はパスワードの変更と、同じパスワードを使い回している他のサービスの変更を呼びかけている。
麻雀のアカウントそのものより、同じ組み合わせで開いてしまう別の扉のほうが気になる話だ。いま遊んでいるかどうかに関係なく、一度でも登録した人は自分の手元を見ておきたい。
管理システムの機能が悪用された
同社の説明では、管理システムの機能が悪用され、11月4日(水)15時ごろまでに会員情報を含むデータが外部へダウンロードされた。侵入経路は特定済みで、悪用された箇所に対策をしたうえで、緊急メンテナンスを経て11月7日(土)16時にサービスを再開している。
流出が確認されたのはメールアドレスとパスワードの2つ。メールアドレスは登録している会員だけが対象になる。クレジットカード番号は同社が保有しておらず、決済は決済代行会社が扱う仕組みのため、今回の流出には含まれていないとしている。
おわびとして会員1人につき3,000ポイント(3,000円分)が用意され、11月20日(金)の深夜24時まで受け取れる。11月11日に予定していたアップデートのメンテナンスは、情報漏えい対策の影響で延期になった。
発表に書かれていないこと
パスワードがどんな形で保存されていたのかは、発表にない。元の文字列に戻しにくい形(ハッシュ化)で保存していたかどうかで、流出したパスワードがどれだけ早く悪用されうるかは変わる。書かれていない以上、どちらとも決められない。
決められないなら、悪用されうる前提で動くほうが手堅い。同社自身も、これまでのパスワードでもログインはできるとしたうえで、使い続けることには不正利用の危険があると書いている。
対象を全会員としている点も見ておきたい。何年もログインしていないアカウントがどこまで含まれるかの線引きは示されていない。昔登録したきりの人ほど、どのパスワードを使っていたかを覚えていないはずだ。
使い回しの見直しはメールアカウントから
メールアドレスとパスワードの組み合わせは、そのまま別のサービスのログイン画面で試されうる。Maru-Jan と同じパスワードをメールや通販サイトで使っていたなら、そちらも変える必要がある。
順番をつけるなら、最初はメールアカウントになる。ほかのサービスのパスワード再設定の案内はメールに届くので、ここを押さえられると被害が広がる。次に、カードや口座をひもづけた通販や決済のサービスへ進む。
手間はかかる。どのサービスで同じパスワードを使っていたかを思い出せないことも多い。パスワード管理アプリを使っていれば一覧から探せるが、使っていなければ、ログインしているサービスを一つずつ当たるしかない。変えた先で二段階認証を設定できるなら、ついでに入れておくと、同じことがまた起きたときの備えになる。
流出したアドレスには、Maru-Jan を名乗るメールが届くかもしれない。パスワードの変更は、メールのリンクではなく、普段開いている公式サイトの会員ページから行う。知らせが届いてからの手順は、漏えいの知らせが来たらやること、順番つきの手順にまとめてある。
同社は、調査で分かったことや対策の進み具合を公式サイトで知らせるとしている。確かめる先は Maru-Jan 公式サイトの「会員情報流出についてのお詫びとご説明」のページだ。パスワードの保存方式や対象の線引きが追記されるかを、ポイントの受け取り期限の11月20日までに一度見ておきたい。
ことば
- ハッシュ化 — パスワードを、元の文字列に戻しにくい別の値に変えて保存する方法。流出しても読み取りにくくなるが、短いものや推測しやすいものは割り出されることがあり、変更が要らなくなるわけではない。
- パスワードの使い回し — 複数のサービスで同じパスワードを使うこと。一つのサービスから組み合わせが漏れると、ほかのサービスでも同じ組み合わせでログインを試される。
いま使っているパスワードのうち、Maru-Jan と同じものはいくつあるだろうか？
