家電量販店のノジマは11月2日、通販サイト「ノジマオンライン」の会員管理システムが不正アクセスを受け、会員情報約700万件が外部に漏れたと発表した。氏名や住所に加えてログインIDと暗号化されたパスワードも含まれ、通販サイトと中古スマホ買取サイトはいま休止している。
カード情報はもともと保持していなかった。一方でログインIDとパスワードがそろって漏れたことで、影響はノジマのサイトの外にも及びうる。同じパスワードをほかのサービスで使っている人ほど、今日やることがある。
2つのサイト、約700万件
発表によると、不正アクセスを検知・確認したのは11月1日（日）。社内調査で、同じ日に次の2サイトの会員情報が漏れたことを確認した。
- ノジマオンライン（通販専門サイト）
- 中古スマホ買取サイト
対象は約700万件で、退会した人は含まれていない。人数ではなく件数で示されているので、両方のサイトに登録していた人は重複して数えられている可能性がある。
漏れた情報は、氏名（漢字・カナ）、生年月日、性別、郵便番号、住所、電話番号、ログインID、暗号化されたパスワード、メールアドレス。ノジマは決済情報を自社で持たない仕組みに切り替えており、この2サイトではクレジットカード情報を保持していないとしている。
同社は外部からのアクセス遮断を含む対策を取り、所轄の警察署に相談した。個人情報保護委員会などへの報告は準備中で、速やかに出す予定だという。本件による不正利用や二次被害が起きているかどうかは、まだ調査中だ。
「暗号化」は安心材料になるか
パスワードが平文のまま漏れたわけではない。ただ、発表文はどの方式で暗号化していたかを明かしていない。方式によっては、時間をかければ元の文字列に戻されるおそれがある。暗号化されているから大丈夫、とは言い切れないのが現状だ。
影響が大きいのは、ノジマオンラインと同じIDとパスワードの組み合わせを、ほかの通販サイトやメール、SNSでも使っている場合だ。漏れた組み合わせをほかのサービスで順に試す攻撃は珍しくない。ノジマのサイトが休止していても、使い回した先のアカウントは今も開いている。
手間はかかる。使い回しの数が多い人ほど、一つずつ変えていくのは骨が折れる。優先順位をつけるなら、お金や連絡手段につながるもの（ほかの通販サイト、メール、決済アプリ）から先に変えるのが現実的だ。
自分が対象かを確かめる道筋
今回の発表文には、対象者への個別連絡の予定は書かれていない。登録した覚えがあるかどうかは、自分で思い出すところから始まる。家電の購入や中古スマホの売却で会員登録をした人は、対象に入っている可能性がある。
同社は、漏れた情報がなりすましメールやフィッシング詐欺に悪用されるおそれがあるとして、身に覚えのないリンクや添付ファイルを開かないよう呼びかけている。問い合わせ先は、ノジマカスタマーセンター（0120-574-853、9時30分〜19時）。
確かめられる次の一点は、ノジマの公式サイトのお知らせだ。サイトの再開時期は安全が確認できしだい当該サイトで知らせるとしており、原因や影響範囲の続報もそこに出る。再開の告知に、パスワード再設定の手順が含まれるかどうかも見ておきたい。
ことば
- パスワードの使い回し：複数のサービスで同じIDとパスワードを使うこと。どこか一か所で漏れると、その組み合わせでほかのサービスにも入られるおそれがある。
- 決済情報の非保持化：クレジットカード番号を自社のサーバーに保存せず、決済代行会社に処理を任せる仕組み。今回カード情報が漏れていないのは、この仕組みによる。
同じパスワードを使っているサービスを、あなたは今いくつ数えられるだろうか？
