音楽制作用の音源やソフトウェアを扱う「SONICWIRE」を運営するクリプトン・フューチャー・メディアは10月19日、SONICWIRE と店舗向けサービス「D2R」が第三者の不正アクセスを受け、SONICWIRE 会員 (ニュースレター購読者を含む) 最大約42万件の個人情報が閲覧・取得された可能性があると発表した。同社は全利用者のパスワードを無効化しており、会員の側で急ぐべきなのは、同じメールアドレスとパスワードの組み合わせを使っているほかのサービスのほうだ。
SONICWIRE のパスワードは、サービスが戻ったときに作り直せばよい。手間がかかるのは、その組み合わせを過去にどこで使ったかを思い出す作業になる。
漏れた可能性がある情報と、無いとされる情報
同社が10月19日時点で挙げた項目は次のとおり。登録の状況によって、人ごとに対象の項目は異なるという。
- SONICWIRE 会員: 氏名、メールアドレス、ハッシュ化されたパスワード、住所 (請求書や見積書の発行時に入力した場合)、登録日や最終ログイン日などのシステム上の識別情報
- D2R 登録店舗: 氏名、店舗名、ログイン ID、ハッシュ化されたパスワード。対象の店舗には個別に連絡している
- クレジットカード情報: 両サービスのシステムには保存しておらず、現時点で漏えいは確認されていない。過去の決済情報などから影響が出ていないかは調べを続ける
経緯も短く整理しておく。10月17日20時頃に不正アクセスの可能性を確認し、同日23時39分頃にサーバーを停止した。18日に警察へ第一報を入れ、19日に個人情報保護委員会へ報告している。SONICWIRE 関連の EC ストアも調査のため止めており、再開の時期は19日時点で決まっていない。
ハッシュ化されたパスワードが、なぜ他のサービスの話になるのか
漏れた可能性があるのはパスワードそのものではなく、元に戻すのが難しい形に変換した値 (ハッシュ値) だと同社は説明している。そのうえで、万一パスワードが復元された場合に、同じメールアドレスとパスワードの組み合わせで他のサービスへのログインを試みられるおそれがあるとして、使い回している人に速やかな変更を求めている。
この手口はパスワードリスト攻撃と呼ばれる。漏れたのが SONICWIRE でも、入られるのは通販サイトやメールのアカウントかもしれない。一般に、短く単純なパスワードほど、ハッシュ値から推測で割り出されやすい。
SONICWIRE で作ったパスワードが長く、他で一度も使っていないなら、急ぐ理由は小さい。逆に、昔から使っている「いつもの」パスワードなら、点検の範囲は広くなる。
使い回しの点検を、どこから始めるか
全部のサービスを一晩で変えるのは現実的ではない。優先順位をつけて進めるほうが止まらずに済む。
- メールのアカウント: ここに入られると、他のサービスのパスワード再設定まで乗っ取られうる。最初に変える
- カードや住所を登録した通販・決済のサービス: お金と配送先に直接つながる
- SNS やクラウドストレージ: なりすましや写真・ファイルの持ち出しにつながる
ブラウザやパスワード管理アプリに保存している人は、同じパスワードを使っているサイトを一覧で示す機能を使うと探しやすい。変えるときは、サービスごとに別の長いパスワードにし、使えるなら二段階認証も入れる。
もう一つの注意は、同社や関係先を装うメールや SMS だ。同社は対象者の登録メールアドレスへお詫びと案内を順次送るとしているため、本物の案内と偽物が同じ時期に届くことになる。届いたメールのリンクや添付は開かず、同社のニュースリリースから自分でたどって確かめるのが確実だ。
次に確かめる先は、クリプトンのニュースリリースのこの件のページになる。同社は、新しい事実が分かったときやサービス再開の目途がついたときに、同じページを更新して知らせるとしている。再開の告知が出たら、初回ログインでパスワードを再設定する。
ことば
- ハッシュ化 — パスワードを、元に戻しにくい一定の長さの文字列に変換して保存する方法。サービスは元のパスワードを持たずに照合できるが、単純なパスワードは推測で割り出されることがあり、漏えい時に変更が求められる。
- パスワードリスト攻撃 — どこかで漏れたメールアドレスとパスワードの組み合わせを、別のサービスのログイン画面に順に試す手口。漏えいしたサービスとは別の場所で被害が出るのが特徴で、使い回しの有無が被害を分ける。
- 個人情報保護委員会 — 個人情報の扱いを監督する国の機関。不正アクセスによる漏えいのおそれがある事案などでは、事業者に報告が義務づけられている。今回の届け出は10月19日に済んでいる。
SONICWIRE と同じパスワードを使っているサービスを、あなたはいくつ思い出せるだろうか？
