電子コミック配信サービス「ピッコマ」を運営するカカオピッコマは10月24日、メールマガジンの配信に使っていたラクスライトクラウドの「ブラストメール」が不正アクセスを受け、メルマガ1回分の配信で宛先になっていた100万2404件のメールアドレスが外部に流出したと公表した。ピッコマのアカウント、パスワード、購入情報への影響はないという。
漏れたのはアドレスだけだが、それは「ピッコマのメルマガを受け取っている人」という印のついた一覧でもある。ピッコマや出版社を名乗るメールをこの先どう扱うかを、届く前に決めておく意味がある。
漏れたのは、メルマガ1回分の宛先
ピッコマの第1報によると、経緯は短い。10月21日午前0時30分ごろ、ブラストメールの運営会社が不審なアクセスを検知して全サービスを止めた。3日後の10月24日、同社からピッコマに、メルマガの宛先メールアドレスが流出したと報告が届いた。
- 流出した情報: メルマガの受信先として登録されたメールアドレス。現時点の調査では、利用者を識別する管理番号や最終課金日などは含まれていない
- 流出していない情報: パスワードはブラストメールに預けておらず、流出の可能性はない。氏名とクレジットカード情報は、ピッコマがそもそも保有していない
- 対象: メルマガ1回分の配信で宛先になっていた100万2404件。件数は運営会社から報告を受けている現時点の数字
どの回の配信だったかは示されていない。ピッコマのメルマガを受け取る設定にしていた人なら、自分が入っている可能性はある。ピッコマは対象者に個別に連絡するとしている。なお、ピッコマノベルズのメルマガについては、現時点で流出は確認されていない。
委託先のサーバー2台から始まった
ピッコマ自身のアプリやWebサービス、社内のシステムが破られたわけではない。ブラストメールを提供するラクスライトクラウドの親会社、ラクスの10月21日の第2報によると、外部の第三者が同社のAPI用サーバー2台に侵入してコマンドを実行し、販売管理システムとサービスのデータベースに接続してデータを持ち出した。侵入経路はまだ調査中で、サービス再開の日時も決まっていない。
持ち出されたのは、ブラストメールを契約している企業側の情報が中心だ。それとは別に、一部の契約者については、その契約者が登録していた配信先リストの漏えいも確認されたという。ピッコマのリストは、この一部に入っていた。
同じ経路では、レンタルサーバーのエックスサーバーも10月23日、ニュースやキャンペーンの配信を希望した利用者のメールアドレスが漏えいしたと公表している。ブラストメールでメルマガを送っていた会社はほかにもある。読者の側から見れば、普段は意識しない「メルマガの送り手の、そのまた委託先」から情報が出たことになる。似た知らせが別の会社から届いても不思議はない。
宛先一覧は、なりすましの材料になる
アドレスだけでは、ピッコマのアカウントに入ることはできない。それでも、ピッコマを使っていると分かっている人の一覧は、偽メールを送る側にとって狙いを絞りやすい宛先になる。
ピッコマはメルマガの配信を止め、ブラストメールから送られるメールがピッコマの正規のメールとして扱われないよう設定を変えた。盗まれた仕組みそのものから、ピッコマを名乗るメールが送られる道を塞いだ形だ。ただ、別の送信元から送られる偽メールまでは、この設定では止まらない。最後の見分けは、受け取る側に残る。
ピッコマの案内から読み取れる手がかりは次のとおりだ。
- ピッコマや出版社を装った不審なメールやSMSに注意する。心当たりのないメッセージのリンクを開かず、個人情報やパスワードを入れない
- ピッコマが、メールでパスワードやクレジットカード情報の入力を求めることはない。入力を求めてきた時点で、偽物と見なしてよい
- メルマガの配信はいま止まっている。再開の告知を見るまでは、メルマガ風のキャンペーンメールが届いたら、それだけで一度疑ってよい
手堅いのは、メールの本文からログインしない習慣だ。アプリかブックマークした公式ページから入れば、メールの真偽を毎回見分けずに済む。好きな作品の新刊や無料公開を知らせる文面ほど、リンクを押したくなるものだ。
逆に、メールアドレスを替えるのは重い。同じアドレスをほかのサービスのログインや連絡先にも使っていれば、付け替えの手間はピッコマ1社では済まない。配信を止めても、すでに出たアドレスは戻らない。
次に確かめたいのは3つある。ピッコマのお知らせページ(10月24日付の第1報)の更新、対象者に届く個別連絡、そしてラクスの第3報だ。ピッコマは新たな事実が分かればこのページで知らせるとしており、侵入経路と、配信先リストを抜かれた契約者の範囲は、ラクス側の続報が答えを持っている。
ことば
- ブラストメール — ラクスライトクラウドが提供する、企業向けのメール一斉配信サービス。企業はここに読者のメールアドレスを登録してメルマガを送る。今回は提供元のサーバーが侵入され、複数の企業の配信先リストに影響が出た。
- 配信先リスト — メルマガを送る相手の一覧。読者が登録したのはピッコマでも、データは配信を請け負うサービスの中に置かれている。今回はこの一覧のうち1回分の宛先が外に出た。
- なりすましメール — 実在の会社を装い、偽のサイトへ誘ってIDやパスワード、カード情報を入力させるメールやSMS。宛先が「その会社の利用者」と分かっていると、文面を合わせやすくなる。
好きな作品の知らせと偽メールのあいだに、どこで線を引くか。あなたはこの先、ピッコマのメールを、メールから開くだろうか、アプリから開くだろうか？
