年賀状ソフトなどを手がけるソースネクストは10月15日、会員情報を管理するシステムが不正アクセスを受け、22,519,960件の会員情報が流出した可能性があると公表した。対象には、メールアドレスとパスワードが含まれる。
ソースネクスト 不正アクセスによる情報流出のお知らせ 10月15日 (経緯・22,519,960件・対象項目・窓口)ソースネクスト
クレジットカードの情報は、このシステムに置かれていなかった。それでも、メールアドレスとパスワードの組み合わせは、ソースネクストの外でも使い回されていれば鍵になる。今回まず確かめたいのは、自分が同じ組み合わせをどこで使っているかだ。
10月9日に始まり、13日に止めた
同社の発表によると、第三者による不正アクセスは10月9日(金)の10時ごろに始まり、会員情報を取り出すための API が不正に使われた。10月13日(火)の9時ごろに会員情報管理システムへの不正アクセスを確認し、同日13時36分に封じ込めを終えた。その後、不正アクセスは確認されていないという。
流出した可能性がある項目は13あり、全員の全項目が漏れたわけではなく、登録の内容によって違う。
- メールアドレス、パスワード
- 氏名、氏名カナ、住所、性別、電話番号、FAX 番号、生年月日
- 会社名、役職名、部署名
- 加入サービスや登録日、ログイン日などの識別情報
FAQ によると、対象は10月13日13時36分までにソースネクストに登録があった人だ。何年も前に製品を買って登録したまま忘れている人も、この範囲に入りうる。同社は10月15日に個人情報保護委員会へ報告し、16日に警察へ被害を申告する予定としている。
パスワードの変更は、ソースネクストの外が本番
ソースネクストの側では、原因になった弱点の修正と、パスワードの初期化を進めた。対象者には10月15日から順にメールで案内を送り、メールアドレスを登録していない人には郵送で知らせるという。次にログインするときは、案内に沿ってパスワードを設定し直すことになる。
パスワードがどんな形で保存されていたかは、発表にもFAQにも書かれていない。漏れたのがそのままの文字列なのか、読み解きにくい形に変換したものなのかが分からない以上、漏れた前提で動くほうが手堅い。
手間がかかるのは、ソースネクストの外だ。同じメールアドレスとパスワードを、ネット通販や銀行、メールそのものに使っていたら、そちらを先に変える必要がある。全部を一度に変えられない人は、お金が動くサービスと、メールアカウントから順に手を付けると、乗っ取られたときの被害を小さくできる。メールが乗っ取られると、ほかのサービスのパスワード再設定までされてしまうからだ。
カードは止めなくてよい、と同社は説明している。会員登録の際に本人確認書類は取っていないので、漏れた情報だけで携帯電話の契約や借り入れをするのは極めて難しいという見方も示した。
届く案内と、偽の案内
2,000万件を超える規模で案内のメールが送られる時期は、同じ見た目の偽メールが紛れ込みやすい。同社は、ソースネクストや関係先を装ったメール、SMS、電話、郵便に注意するよう呼びかけている。身に覚えのないメールや SMS のリンクや添付ファイルは開かず、そこで個人情報やパスワードを入力しない。
案内のメールが本物かどうか迷ったら、メールのリンクからではなく、ソースネクストの公式サイトを自分で開き、お知らせのページから同じ案内にたどり着けるかを確かめる。
次に確かめる点
次に見るのは、ソースネクストのお知らせページと FAQ の更新だ。同社は独立した外部の専門機関による調査を準備しており、新しく分かったことはサイトで知らせるとしている。問い合わせは専用窓口 (0120-035-116・10時〜18時・土日祝も受付) とメールフォームで受け付けている。
ことば
- パスワードの使い回し — 同じメールアドレスとパスワードを複数のサービスで使うこと。どこか一つで漏れると、ほかのサービスにも同じ組み合わせでログインを試される。
- API — システムがデータをやり取りするための窓口。今回は会員情報を取り出すための API が不正に使われたと、ソースネクストは説明している。
あなたは、ソースネクストに登録したときのパスワードを、ほかのどのサービスでも使っていないと言い切れるだろうか？
