ライブ配信サービス「ツイキャス」を運営するモイは10月29日、不正アクセスの第2報を東京証券取引所の適時開示で公表し、緊急停止までの間に計7件の個人情報へ外部からアクセスされた痕跡を確認したと明らかにした。あわせて、X・Google・Facebook など連携していたすべての SNS との接続と、外部サービスへの認証をリセットした。
漏れた件数は小さいが、ツイキャスは X や Google のアカウントでログインできるサービスだ。自分の情報が7件に入っていなくても、再開したときの手順と、これから届くかもしれない連絡の見分け方は、利用者全員に関わる。
検知から完全停止までの25分
開示によると、10月28日の午前10時20分ごろから第三者がシステムを探る動きを始め、10時30分ごろに社内のシステムが自動で痕跡を検知した。10時40分ごろから緊急停止に入り、10時45分ごろにサービスを完全に止めた。それまでの間に、一部のデータが読まれたという。
アクセスが確認された個人情報の内訳は次のとおりだ。
- クレジットカードの有効期限と、暗号化された名義: 1件
- メールアドレスと活動履歴などの情報: 6件
モイは、カード番号とセキュリティコードはもともと保持していないとしている。対象の利用者には個別に連絡する。
まだ範囲が決まっていないログデータ
7件とは別に、サーバー上のログデータへのアクセスも確認されている。ログの一部には「アカウント ID」と「メールアドレス」が含まれる。氏名や住所は、いま確認できている範囲では入っていない。
ただ、このログがどれだけの規模なのかは調査中だ。大規模な流出は現時点で確認されていないとしつつ、ほかの情報へのアクセスの可能性とログの取得範囲は精査を続けるとしている。配信で収益を得る人が出した本人確認書類などは、暗号化して保存しており、流出の可能性は認められていないという。
数字は第3報以降で動きうる。いまの「7件」を最終的な数として扱わないほうがいい。
SNS 連携のリセットで、利用者がやること
連携のリセットは、乗っ取りなどの二次被害を防ぐための措置で、モイは「現時点において悪用される恐れはない」としている。裏を返すと、サービスが再開したら、SNS のアカウントでログインしていた人はつなぎ直しが要る。
再開を待つ間にできることは3つある。
- ツイキャスと同じメールアドレスとパスワードの組み合わせを、ほかのサービスで使っていないか確かめる。使い回していれば、そちらを先に変える
- ツイキャスやモイを名乗るメールや SMS が届いても、書かれたリンクは開かない。開示に載っている利用者向けの問い合わせ先はメールアドレス support@twitcasting.tv だけだ
- X や Google のアカウント設定で連携中のアプリの一覧を開き、ツイキャスとのつながりを確認する。再開後にもう一度つなぐかどうかは、そのとき決めればいい
つなぎ直しの手間は、利用者の側に残る。一方で、配信履歴やレベルの情報はリセットされず、購入したポイントも再開後にそのまま使えると開示は書いている。
再開の時期は決まっていない。原因の特定と、セキュリティ全体の見直しに時間がかかるためだ。
次に見るのは、モイが TDnet の適時開示と公式 X で出す次の報告だ。ログデータの規模と、再開の日付がそこで示される。業績への影響も精査中としている。
ことば
- 適時開示 (TDnet) — 上場企業が、株価に影響しうる出来事を東京証券取引所のシステムで速やかに公表する仕組み。モイは東証グロース上場で、今回の第2報もここで出た。
- SNS 連携 (外部認証) — X や Google のアカウントを使って、別のサービスにログインしたり投稿を共有したりする仕組み。今回はこのつながりをサービス側ですべて切った。
あなたが使っているサービスのうち、SNS のアカウントでログインしているものは、いくつ思い浮かぶだろうか？
