ニフティは10月19日、光回線の申し込み情報を社内で登録・管理するシステムに外部から不正アクセスがあったと発表した。2019年以降に「@nifty光」「@nifty MAX光」「@nifty auひかりプラス」を申し込んだ人 (ニフティの Web サイトから申し込んだ人を除く) の最大54万2,513件について、会員 ID・氏名・性別・生年月日・住所・電話番号・メールアドレスが漏えいしたおそれがある。
ニフティ ニュースリリース 10月19日 第一報 (対象件数・対象者・項目・対応・問い合わせ先)ニフティ株式会社 - ニフティとなら、きっとかなう。With Us, You Can.
パスワードと違い、氏名や住所、生年月日は取り替えがきかない。対象になりうる人にとっての本題は、このあと届くかもしれない「もっともらしい連絡」への構えになる。
対象は「Web サイト以外」から申し込んだ人
同社によると、不正アクセスを確認したのは10月19日10時20分頃で、把握後すぐに通信元からのアクセスを遮断した。狙われたのは同社側で情報を登録するための管理用ツールで、利用者が自分で申し込む Web サイトの申込フォームとは別のシステムだという。
対象の条件にある「当社 Web サイトをのぞく」は、ニフティの申込フォームを使わずに申し込んだ人、という読み方になる。同社のリリースは具体的な経路を挙げていない。自分がどの経路で申し込んだか覚えていない場合は、@nifty 専用ダイヤルで確かめるのが確実だ。
挙げられた7項目は「漏えいした可能性のある情報の全項目」で、実際にどこまで漏れたかは調査中だとしている。口座やクレジットカードの情報はこのシステムに無く、漏えいの対象に含まれない。外部の専門機関と詳しく調べ、個人情報保護委員会への報告手続きも進めている。
6月のメールに続く、今年2度目の公表
ニフティは6月23日にも、「@nifty」メールサービスへの不正アクセスで、利用者のメールアドレスとメールパスワードが漏えいした可能性があると公表し、メールパスワードを順次無効化していた。
今回の項目にパスワードは入っていない。代わりに、名前・住所・生年月日・電話番号・メールアドレスが一続きでそろっている。両方の対象に当たる人がいれば、メールの中身に近づける情報と、本人として名乗れる情報が別々の経路で外に出たことになる。
本物の連絡と偽物を、どこで分けるか
同社は、この件で利用者に個別にメールや電話で連絡し、暗証番号やパスワード、クレジットカードの情報を尋ねることはないとしている。同社や関係者を装った不審なメール・電話・SMS に注意し、記載された URL へのアクセスや個人情報の入力をしないよう求めている。
名前と住所と生年月日を言い当てられると、人は相手を本物だと思いやすい。回線の契約は「契約内容の確認」「料金プランの変更」といった用件を装いやすく、電話口で本人確認を求められれば答えてしまいかねない。
- かけ直す: 届いた連絡の番号やリンクは使わず、自分で調べた窓口にかけ直す。@nifty 専用ダイヤルは 0120-924-719 (毎日10時〜18時)
- 答えない: 暗証番号、パスワード、カード番号は、電話や SMS で聞かれても答えない
- 家族にも伝える: 回線の契約者と、ふだん電話に出る人が違う家では、契約者だけが知っていても防げない
この構えには終わりの日が無い。パスワードなら変えれば済むが、生年月日は変えられず、住所も引っ越すまで変わらない。数週間で気がゆるむ前提で、家の中で「回線の件で電話が来たら、いったん切ってかけ直す」と決めておくほうが続く。
次に確かめる先は、ニフティのニュースリリースに載る第二報だ。今回は「第一報」で、7項目は可能性の段階にある。どの項目が実際に漏れたのか、対象者への個別の連絡があるのかは、そこで示される。
ことば
- 回線申込・受付管理システム — 光回線の申し込みを受け付けたあと、同社側で情報を登録・管理するための社内ツール。利用者が自分で入力する申込フォームとは別のシステムで、今回はこちらが不正アクセスを受けた。
- 個人情報保護委員会 — 個人情報の扱いを監督する国の機関。不正アクセスによる漏えいのおそれがある事案などでは、事業者に報告が義務づけられており、ニフティは報告の手続きを進めている。
名前も住所も生年月日も知っている相手から電話が来たとき、あなたは何をもって本物だと判断するだろうか？
