レンタルサーバー大手のエックスサーバーは10月23日、外部のメール配信サービス「ブラストメール」への不正アクセスで、同社が登録していたメール配信先リストの全件が漏えいしたと公表した。漏えいが確認されたのはメールアドレスで、氏名と会社名も漏れた可能性がある。
エックスサーバー自身のシステムが破られたわけではない。読者の側から見ると、自分が契約した覚えのない会社から情報が出たことになる。サイトやドメインを預けている人ほど、この先に届くメールの見分け方を先に決めておく意味がある。
委託先のさらに奥で起きた侵入
ブラストメールを提供するのは、ラクスの子会社ラクスライトクラウドだ。ラクスの10月21日の第2報によると、外部の第三者がラクスライトクラウドのAPI用サーバー2台に侵入してコマンドを実行し、販売管理システムとサービスのデータベースに接続してデータを持ち出した。サービスは10月21日午前0時30分から止まっており、再開の日時は未定。侵入経路はまだ調査中だ。
持ち出されたのは、ブラストメールの全契約者の会社名、担当者名、電話番号、メールアドレス、契約や支払いの履歴など。これに加えて、一部の契約者については、その契約者が登録していた配信先リストの漏えいも確認されたという。エックスサーバーは、自社のリストがこの「一部」に入っていたと報告を受けた形だ。
ブラストメールを使ってメールマガジンを送っていた会社は、エックスサーバーだけではない。同じ経路で、別の会社からも似た知らせが届く可能性はある。
対象になる人、ならない人
エックスサーバーの公表では、対象は現在または過去の利用者のうち、ニュースやキャンペーン情報の配信を希望し、同社がブラストメールに登録していた人だ。すべての利用者が対象ではないと太字で断っている。
- 漏えいを確認: メールアドレス
- 漏えいした可能性あり: 氏名、会社名
- リストに含まれておらず対象外: ログインパスワード、住所、電話番号、クレジットカードなどの決済情報
エックスサーバーからキャンペーンのお知らせを受け取っていた覚えがあるなら、自分も対象に入っている可能性が高い。対象者には、詳細と人数が確認でき次第、個別にメールで知らせるという。同社はブラストメールとのデータ連携を止め、利用をやめて自社開発の配信システムに移るとしている。
漏れたのは、偽メールの宛名だった
パスワードも決済情報も出ていない以上、このリストだけで管理画面に入られることはない。それでも「エックスサーバーを使っている人のメールアドレスと名前と会社名」の一覧は、偽メールを送る側にとって宛先として使いやすい。
エックスサーバーは以前から、サーバーパネルのログイン画面にそっくりな偽サイトへ誘うフィッシングメールが複数出回っていると注意を呼びかけている。ログインIDとパスワードを盗まれれば、サイトの改ざんやメールの不正な送受信につながりうる。宛名に本名と会社名が入っていれば、偽物を見抜くのはさらに難しくなる。
同社の案内で確かめられる手がかりは次のとおりだ。
- 案内メールの送信元は support@xserver.ne.jp か noreply@xserver.ne.jp。ただし送信元は偽装できる
- 公式サイトと管理ツールのURLは「https://***.xserver.ne.jp/」の形。HTMLメールでは、表示と違うURLへ飛ばすこともできる
- 偽サイトでログイン情報を入れてしまったら、パスワード再発行フォームからすぐ再発行する
結局いちばん手堅いのは、メールのリンクから管理画面に入らないことだ。ブックマークした公式のログインページから入る習慣にしておけば、メールが本物かどうかを毎回見分けなくて済む。手間は、ブックマークを1つ作るだけだ。
逆に、メールアドレスそのものを替えるのは重い。サーバーやドメインの契約、請求の連絡先がすべてつながっているからだ。配信停止の手続きをしても、すでに出た情報は戻らない。
次に確かめたいのは、エックスサーバーのニュースページ(10月23日付の告知)の更新と、対象者に届く個別メールだ。氏名と会社名が実際に漏れたかどうか、対象人数がいくつかは、まだ示されていない。ラクスの続報も同じ論点の答えを持っている。
ことば
- ブラストメール — ラクスライトクラウドが提供する、企業向けのメール一斉配信サービス。企業はここに読者のメールアドレスなどを登録し、メールマガジンやキャンペーンの知らせを送る。今回は提供元のサーバーが侵入された。
- 配信先リスト — メールマガジンを送る相手の一覧。メールアドレスに氏名や会社名が添えられていることが多い。読者が直接登録した先ではなく、企業が委託したサービスの中に置かれている。
- フィッシング — 実在の会社を装ったメールやSMSで偽サイトに誘い、IDやパスワードを入力させて盗む手口。宛名に本名や会社名が入ると見分けにくくなる。
仕事のサイトを預けているサーバー会社を名乗るメールが届いたら、あなたは最初にどこを見るだろうか？
