ソースネクストに不正アクセス、パスワード含む会員情報最大2,252万件が流出か

概要

「ポケトーク」や「筆ぐるめ」などで知られるソースネクストは10月15日、会員情報システムへの不正アクセスにより、メールアドレスやパスワードを含む会員の個人情報が最大約2,251万9,960件（約2,252万件）流出した可能性があると発表した。会員数2,000万人超を抱える同社にとって、過去に例を見ない大規模な情報漏えいとなる。流出が疑われる情報は、メールアドレス、パスワード、氏名・氏名カナ、住所、性別、電話番号、FAX番号、生年月日、会社名、役職名、部署名、加入サービスや登録日・ログイン日といったシステム上の識別情報など多岐にわたる。ただし全会員が全項目の対象というわけではなく、登録状況によって流出した項目は会員ごとに異なるという。クレジットカード情報は別管理であり、今回の流出対象には含まれていない。

最も懸念されているのはパスワードの扱いだ。同社はパスワードを暗号化して保管していたとしているが、暗号化を解除する手段自体が攻撃者に奪われた可能性があるとみられ、平文または実質的に解読可能な状態で流出した恐れがあるとしている。メールアドレスとパスワードの組み合わせが他サービスでも使い回されている場合、不正ログインなどの二次被害につながりかねないため、同社は該当の可能性がある利用者に対し、他サービスでも同一パスワードを使っていないか確認し、直ちに変更するよう強く呼びかけている。

侵入の経緯と対応

同社の説明によると、攻撃者は10月9日午前10時頃から、会員情報取得APIを不正に利用して段階的に登録者情報を取得し始めていた。この侵入は約4日間発覚しなかったことになる。社内でシステムの異常を検知したのは10月13日午前9時頃で、同日13時36分までに不正アクセスの封じ込めを完了したとしている。発覚から公表までの間、同社は外部の専門調査機関と連携して原因究明と影響範囲の調査を進め、15日に個人情報保護委員会への報告を行った。16日には所轄警察署への被害申告も予定しており、捜査への協力体制を整えるとともに、全システムを対象とした緊急点検とセキュリティ監査を実施しているという。

利用者への影響と今後の対応

ソースネクストは再発防止策として、該当する会員アカウントに対し順次パスワードの強制リセットを行う方針を示しており、次回ログイン時にはパスワードの再設定が必要になるとみられる。あわせて、対象となり得る利用者への個別連絡も進めている。また、今回の騒ぎに便乗して同社や関係先を装い、偽のウェブサイトへ誘導するフィッシング詐欺が発生する可能性にも注意を呼びかけており、問い合わせ窓口を設置して対応にあたっている。会員数2,000万人超という同社の規模を考えると、流出が事実であれば日本国内でも近年最大級の漏えい事案の一つとなる。原因となったAPIの不正利用や暗号化解除手段への侵入の詳細は今後の調査で明らかになる見通しで、同様に会員情報取得APIを運用する他社にとっても、アクセス制御や暗号鍵管理の点検を促す事例となりそうだ。