📡 Signal｜ノジマオンラインに不正アクセス、会員約700万件が流出

家電量販店のノジマは11月2日、通販サイト「ノジマオンライン」の会員管理システムに第三者の不正アクセスがあり、約700万件の会員情報が外部に漏えいしたと発表した。対象は通販サイトと中古スマホ買取サイトの2つで、氏名や住所に加えて、ログイン ID と暗号化されたパスワードまで含まれる。

不正アクセスの検知も、漏えいの確認も、11月1日のうちだった。同社は2つのサイトを一時休止し、再開の時期は安全性を確かめてから知らせるとしている。10月30日の無印良品の MUJI アプリ (最大約2,726万件)、31日のクラブツーリズム (約432万件) に続き、数百万件規模の会員情報の漏えいがこの4日間で重なった。

1日のうちに検知から流出の確認まで

発表によると、同社は11月1日 (日)、会員管理システムへの第三者からの不正アクセスを検知・確認した。社内で調べた結果、同じ日に2つのサイトで個人情報が外部に漏えいしたことを確認したという。侵入の手口と経路は、発表には書かれていない。

同社の対応は、外部からのアクセスの遮断を含む対策と監視の強化、所轄の警察署への相談、2つのサイトの一時休止、公式サイトと SNS での注意喚起だ。個人情報保護委員会などへの報告は準備の段階で、速やかに提出する予定としている。不正利用や二次被害については「現在調査中」と書いており、確認されていないとは言っていない。

約700万件に含まれるログイン ID とパスワード

対象は次の情報だ。

氏名 (漢字・カナ)、生年月日、性別
郵便番号、住所、電話番号
ログイン ID、暗号化されたパスワード、メールアドレス

クレジットカード情報は、2つのサイトとも決済情報を持たない仕組みにしており、含まれない。約700万件に退会した会員は含まれない。

氏名や住所だけの漏えいと違うのは、ログイン ID とパスワードが一緒に持ち出された点だ。パスワードは暗号化されているが、発表は暗号化の方式を明らかにしていない。方式と元のパスワードの強さによっては、持ち出した側が元の文字列を割り出せる場合がある。同じメールアドレスとパスワードの組み合わせを別のサービスでも使っている会員は、そちらの変更が先になる。

同社は2018年にも、ノジマオンラインへのなりすましログインを公表している。外部で不正に取得されたとみられるメールアドレスとパスワードが使われ、7つのアカウントで20件、計2,378,171円の注文が入った (すべてキャンセル済み)。当時、同社は強度の低いパスワードを設定できない対策を2016年に入れていたと説明した。8年後の今回は、そのパスワードを保存した側から持ち出された。

次に届くのはノジマを名乗る連絡

同社は、漏えいした情報がなりすましメールやフィッシング詐欺に使われるおそれがあるとして、不審なメール、SMS、電話に注意し、身に覚えのないリンクや添付ファイルを開かないよう求めた。

2つのサイトが止まっている間、会員は公式の画面で自分の登録や連絡を確かめられない。「サイト再開に向けた再登録」や「パスワードの再設定」を名目に偽のサイトへ誘う文面は、この状況でこそ作りやすい。

次に見るもの

確認先は、ノジマの企業サイトのお知らせの一覧だ。第2報で、侵入の手口、パスワードの暗号化の方式、個人情報保護委員会への報告の提出、対象の会員への個別の連絡方法が示されるかを見る。2つのサイトの再開の告知も、同じ一覧と各サイトに出る。それまでの問い合わせは、ノジマカスタマーセンター (0120-574-853・9時30分〜19時) が受ける。

ことば

暗号化されたパスワード — 保存のために変換したパスワード。変換の方式や元のパスワードの強さによって、持ち出した側が元の文字列を割り出せるかどうかが変わる。方式が公表されるかは、利用者が変更をどれだけ急ぐべきかの判断材料になる。
パスワードの使い回し — 複数のサービスで同じメールアドレスとパスワードの組み合わせを使うこと。1か所で漏れると、別のサービスへのなりすましログインの入口になる。
決済情報の非保持化 — 通販サイトがカード番号を自社で持たず、決済代行会社に預ける仕組み。サイトが侵入されても、カード番号そのものは持ち出されない。

🔗 一次ソース

1日のうちに検知から流出の確認まで

約700万件に含まれるログイン ID とパスワード

次に届くのはノジマを名乗る連絡

次に見るもの

ことば

Related articles