小説投稿サイトの小説家になろうは10月23日、グループの全アカウントに二段階認証を適用すると発表した。10月20日に215件のアカウントへ共通の接続環境から第三者がログインした可能性が見つかったためで、適用は同日20時ごろまでに順次進めるとしている。
運営は、外部で不正に取得されたログイン情報が使われた可能性が高いとみており、自社システムから情報が漏れた痕跡は確認されていないという。つまり入り口は、ほかのサービスと同じパスワードだった可能性がある。書きかけの原稿を預けている人にとって、パスワードの使い回しは作品そのものを人目にさらす穴になる。
215件で何が見られた可能性があるか
運営によると、不正ログインに使われた可能性があるのはパスワードとメールアドレス。ログインされたアカウントで閲覧された可能性があるのは、次の情報だ。
- 予約投稿、執筆中の作品やバックアップなど投稿作品に関する情報
- メッセージ (送受信の履歴を含む)
- 生年月日、性別、血液型、職業、ブックマーク、お気に入りユーザなどの設定情報 (公開設定の項目を除く)
運営は10月20日に該当の接続環境を遮断し、21日から215件のログインを一時的に止め、22日に対象のユーザーへメールとメッセージで連絡した。
ログインの手順がこう変わる
これからは、ID かメールアドレスとパスワードでログインしたあと、登録メールアドレスに届く認証コードを入力する。認証アプリを設定済みの人は、アプリの値も使える。ユーザー情報の編集など重要な変更のときにも、同じ操作が求められる。二段階認証は今後、解除できなくなる。
適用のときに一度ログアウトされることがあり、作業中のデータが保存されない可能性がある。運営は、適用が終わるまでユーザー機能の利用を控え、使うなら編集内容をこまめに端末などへ保存するよう求めている。
当初は移行期間を設けて段階的に導入する予定だったという。前倒しの理由として、社会全体のセキュリティ状況の悪化と今回の事案を挙げ、事前に告知しなかったのは悪意ある利用者に対策を講じられるのを避けるためだと説明している。
書き手が今日やること
運営が求めているのは、パスワードとメールアドレスの見直しだ。特に、ほかのサービスと同じか似たものを使っているなら変更を勧めている。身に覚えのないメールや連絡の URL・添付ファイルは開かない。運営がメッセージ機能で外部の決済確認サイトへ誘導したり、クレジットカード情報を求めたりすることはないという。
困るのは、登録メールアドレスが使えなくなっている人だ。機種変更や解約でコードを受け取れない場合は、ヘルプセンターの専用ページ (ヘルプページID 241) を見るよう案内されている。依頼が集中しているため、回答には時間がかかりうる。
二段階認証は、メールアドレスが生きていることを前提にした守りだ。認証コードが届く先のメールのパスワードが弱ければ、守りはそこで薄くなる。なろうのパスワードを変えるなら、登録メールのパスワードも合わせて見直すと筋が通る。
次に確かめたいのは、小説家になろうの公式ブログで、215件の調査結果と、メールが使えない人への対応状況がまとめて案内されるかどうかだ。運営は共通の事案はブログで知らせるとしている。
ことば
- 二段階認証 — パスワードに加え、本人だけが受け取れるコードの入力を求めるログインの仕組み。パスワードが知られても、それだけではログインできなくなる。
- 認証アプリ — スマホで30秒ほどごとに変わる数字を表示し、それをログイン時に入力するアプリ。メールが届かない状況でも使えるが、スマホを失うと別の復旧手順が要る。
ほかのサイトと同じパスワードで、あなたは書きかけの原稿を預けていないだろうか？
