電子書籍販売サイト Renta! を運営するパピレスは10月23日、第三者による不正アクセスで、一部の会員のメールアドレスなどの会員情報が流出したおそれがあると発表した。Renta! は10月18日に不正アクセスの可能性を把握してサービスを止めており、再開の時期はまだ決まっていない。
クレジットカード情報は最初から持っていないため流出はない、と同社は説明する。読みかけの本棚や購入履歴も、流出や消失は確認されていない。それでも会員が今日やることは一つある。Renta! と同じメールアドレスとパスワードの組み合わせを、ほかのどこで使っているかを思い出すことだ。
発表で分かったこと、まだ分からないこと
分かったことは次のとおり。
- 流出したおそれがあるのは、一部会員のメールアドレス等の会員情報
- クレジットカードなど決済手段の情報は保有しておらず、流出はない
- 購入履歴とマイリスト (本棚) は、流出も、データの消失・欠損も確認されていない
- パスワードは元に戻せない形に変換 (ハッシュ化) して保存していた
- 新たな不正アクセスや被害は確認されていない
一方、対象になった会員の数は書かれていない。「メールアドレス等」の「等」に何が含まれるのかも、この発表では分からない。原因と影響の範囲は、外部のセキュリティ専門機関と調べている段階だ。
パスワードの使い回しが、いちばん効いてくる
パピレスが会員に求めているのは3つ。1つめは、Renta! と同じメールアドレスとパスワードの組み合わせをほかのサービスで使っている場合、念のためそちらのパスワードを変えること。2つめは、心当たりのないメールや不審なメールの URL を開かず、添付ファイルも開かないこと。3つめは、Renta! の再開時にパスワードを再設定することだ。
ハッシュ化されたパスワードは、そのままでは読めない。ただ、短いパスワードや多くの人が使うパスワードは、時間をかければ推測されることがある。同社が「念のため」と書きつつほかのサービスの変更を求めているのは、この余地をふさぐためだと読める。
電子書籍のアカウントは、一度作ると長く放置されやすい。何年も前に決めたパスワードを、ネット通販や SNS でも使っている人は少なくないはずだ。変える順番を決めるなら、お金や連絡手段に直結するサービスから手を付けるのが現実的だ。
再開の知らせを待つあいだに
Renta! を名乗るメールは、しばらく慎重に扱いたい。再開を知らせるメールが届いたとしても、そのリンクから入るより、ブックマークや公式アプリから開くほうが確かだ。
次に確かめたいのは、パピレスのニュースリリースのページで、流出の対象人数と「等」の中身、そしてサービスの再開日が示されるかどうかだ。再開時にはパスワードの再設定が求められる予定なので、その手順の案内も、同じページで合わせて確かめたい。
ことば
- ハッシュ化 — パスワードを、元の文字列に戻せない別の文字列に変換して保存する方法。保存側から盗まれても直接は読めないが、単純なパスワードほど推測で当てられやすい。
- パスワードの使い回し — 同じメールアドレスとパスワードの組を複数のサービスで使うこと。一つが漏れると、ほかのサービスへのログインに試されるおそれがある。
電子書籍のために作ったパスワードを、あなたはほかにいくつのサービスで使っているだろうか？
