楽待株式会社は10月19日、不動産投資サイト「楽待」で10月9日から11日にかけて第三者による不正ログインがあり、最大3,450人分の個人情報が閲覧・取得されたと公表した。物件の問い合わせや売却査定を頼んだ人の氏名や連絡先に加え、入力していれば年収・自己資金・保有不動産といった資産情報も含まれる。
楽待株式会社 10月19日の公表 (不正ログインの期間・最大3,450名・閲覧・取得された項目・対応・利用者へのお願い)rakumachi.co.jp
手口は、他のサービスから漏れたメールアドレスとパスワードの組み合わせを試す「リスト型攻撃」だと同社は推測している。問い合わせた側がどれだけ自分のパスワードに気をつけていても、情報を受け取った不動産会社の入口が破られれば中身は外に出る。今回の件は、その形をしている。
破られたのは、問い合わせを受けた不動産会社のアカウント
不正ログインされたのは、会員アカウントが最大160人分と、楽待に物件を載せる加盟店 (不動産会社) のアカウントが7社分。3,450人という数字は、このうち4社の管理画面から見られた「加盟店に問い合わせた人」の情報にあたる。1社では問い合わせ一覧のダウンロードまで確認されている。
同社は、自社のサーバーやデータベースへの侵入は確認されていないとしている。ログインに使われたメールアドレスとパスワードが楽待から新たに漏れた形跡も、現時点では見つかっていない。正規の入口から、正しいパスワードで入られたということになる。
見られたもの、見られていないもの
加盟店の画面から閲覧・取得された可能性があるのは、問い合わせや査定・一括見積もりの依頼のときに入力した次の情報だ (入力・登録がある場合のみ)。
- 氏名、メールアドレス、電話番号、住所、年齢、職業
- 年収・自己資金・保有不動産などの資産情報
- 問い合わせの内容、メッセージの件名と冒頭部分
- 査定や見積もりを頼んだ物件の情報
会員アカウント (最大160人) では、これに生年月日、お気に入り物件、不動産会社とのメッセージも加わる。
一方で、クレジットカード情報は楽待がそもそも持っていない。免許証や源泉徴収票などの証明書類は取得されていないことを確認したという。二次被害は10月19日時点で確認されていない。
名前と電話番号と年収と持っている物件が一つにそろっていることが、この件の重さだ。投資用の物件を探している人だと分かったうえで連絡できる材料になる。
自分が対象かどうかと、いま確かめること
同社は10月15日に不正なアクセス元を遮断し、対象と特定したアカウントのパスワードを無効化した。加盟店の管理画面には、登録メールに届く認証コードを入れないとログインできない仕組みを足している。個人情報保護委員会へ報告し、警察にも相談した。
対象と判明した人には、10月19日から順次メールが届く。連絡先が確認できない人については、今回の公表をもって通知に代えるとしている。楽待経由で物件を問い合わせたり査定を頼んだりした覚えがある人は、次の点を確かめておきたい。
- 楽待と同じメールアドレスとパスワードを他のサービスでも使っていないか。使っていれば両方を変え、サービスごとに別のものにする
- 楽待や不動産会社を名乗る、身に覚えのない物件案内のメール・電話・SMSに応じない。同社自身が、この種の連絡が届く可能性を挙げている
- 真偽が分からない連絡は、メール内のリンクを使わず楽待の公式サイトから確かめる
自分のパスワードの使い回しをやめても、今回のように受け取った側の入口が破られる経路は防げない。こちらに残る手は、問い合わせのたびにどこまで書くかを決めることだ。年収や自己資金を書けば、返ってくる提案は具体的になるかもしれない。その便利さと、書いた数字が相手の画面に残り続けることを、同じ天秤に載せることになる。
次に見るのは、10月19日から順次届く楽待からの個別のメールと、楽待株式会社のサイトにある今回の公表ページだ。
ことば
- リスト型攻撃 — 別のサービスから漏れたメールアドレスとパスワードの組み合わせを、他のサイトのログイン画面で次々に試す手口。同じ組み合わせを使い回している人ほど被害に遭いやすい。
- 加盟店 — 楽待に物件を載せ、問い合わせや査定の依頼を受け取る不動産会社。利用者が入力した情報は、この会社の管理画面に届く。
物件を問い合わせるとき、あなたは年収や自己資金の欄を、どこまで埋めるだろうか？
