ITmedia PC USERの報道（Yahoo!ニュース掲載）によると、ソースネクストは会員情報管理システムが第三者による不正アクセスを受け、最大2251万9960件の会員データが外部へ流出した可能性があると公表しました。会員情報取得用のAPIが悪用されたことが原因とされており、氏名や住所のほかログイン情報も流出対象に含まれています。同社は不正通信を遮断し、利用者に対してパスワード再設定を呼びかけています。
ITmedia PC USER（Yahoo!ニュース）：ソースネクストに不正アクセス、会員情報2251万件流出のおそれ パスワードや住所、生年月日など
この記事のポイント
影響のあるシステム
- ソースネクスト 会員情報管理システム
推奨される対策
- ソースネクストのサービスにログインし、指示に従ってアカウントのパスワードを再設定する
- 同じメールアドレスとパスワードの組み合わせを使い回している他社サービスでもパスワードを変更する
- 流出情報を悪用したフィッシングメールや不審なSMS、電話、郵便物に警戒する
専門用語
API（Application Programming Interface）：異なるソフトウェアやシステム同士がデータを連携・送受信するための接続口や規約のことです。今回は会員情報を取得するためのAPIが第三者に不正悪用されました。
フィッシング（Phishing）：実在する企業などを装った偽の電子メールやSMSを送り、偽のウェブサイトへ誘導して認証情報や個人情報を騙し取る詐欺手法です。
パスワードリスト攻撃：流出したIDとパスワードの組み合わせを使い、他のインターネットサービスへ不正ログインを試みるサイバー攻撃の手法です。
最大2251万件の会員データ流出の可能性と対象項目
ソフトウェアの販売や各種サービスを展開するソースネクストにおいて、会員情報を統括するシステムが第三者による不正アクセスを受けたことが明らかになりました。同社の発表によると、流出した恐れのある会員情報は最大で2251万9960件に達すると報告されています。流出対象には登録者の氏名や住所だけでなく、ログインに必要な認証情報なども含まれており、大規模な個人情報流出事案となる可能性があります。
影響を受けたとされる具体的なデータ項目としては、メールアドレス、パスワード、氏名、カナ表記の氏名、住所、性別、電話番号、FAX番号、生年月日が挙げられています。さらに、会社名や役職名、部署名といった勤務先情報や、加入しているサービス、登録日、ログイン日などのシステム固有の識別情報も含まれていることが確認されています。ただし、すべての会員において全項目が漏えいしたわけではなく、個々の利用者の登録状況によって対象項目が異なると説明されています。
なお、決済に関連するクレジットカード情報については、不正アクセスを受けた当該システム内部には保管されていなかったため、今回の流出の対象には含まれていないと報告されています。しかしながら、個人の特定につながる詳細なプロフィールやログイン情報が網羅されていることから、利用者への影響が強く懸念される状況です。
会員情報取得APIの悪用と不正アクセスの検知経緯
今回の不正アクセスでは、外部システムとの連携やデータやり取りに使われるAPIが狙われたことが判明しています。ソースネクストの調査によると、同社の会員情報を取得するためのAPIに対して第三者からの不正な利用が行われ、データが引き出される状態となっていたと報告されています。
攻撃のタイムラインとして、不正アクセスが開始されたのは10月9日の午前10時ごろとされています。その後、同社が異常を察知して不正アクセスを確認したのは10月13日の午前9時ごろでした。侵入を検知した直後、同社は外部からの不正な通信を遮断する緊急の防御措置を講じました。
通信遮断の措置を実施した以降は、新たな不正アクセスは確認されていないと発表されています。しかし、不正なアクセスが開始されてから確認および遮断に至るまでに約4日間の空白が存在しており、その間に多数の会員データが不正に照会・取得されたとみられます。
二次被害の防止に向けた対応と利用者が取るべき対策
会員情報が流出した可能性を受け、ソースネクストでは自社サービスへのログイン時にパスワードの再設定を強制的に求めるセキュリティ措置を適用しています。該当するユーザーに対しては、登録済みの電子メールアドレス宛てに順次案内を送付していると報告されています。また、利用者の問い合わせに対応するため、専用のフリーダイヤルとウェブ問い合わせフォームが設けられています。
今回の事案で最も警戒すべきリスクの一つは、同一のログイン情報を他社サービスでも使い回している場合に発生するパスワードリスト型攻撃です。メールアドレスとパスワードの組み合わせを入手した攻撃者が、他のショッピングサイトや金融系サービス、クラウドサービスへの不正ログインを試みる恐れがあります。そのため、同じ認証情報を流用している利用者は、関係するすべてのサービスで直ちにパスワードを変更することが強く求められます。
さらに、氏名や電話番号、住所といった詳細な個人情報が漏えいした可能性に伴い、それらを悪用したフィッシング詐欺やスパムSMS、不審な電話、ダイレクトメールなどの送付といった二次的な被害も想定されます。公的機関や取引先を装った巧妙な連絡に対しても、安易にリンクを開いたり個人情報を追加で教えたりしないよう、警戒を維持することが重要です。
参考文献・記事一覧
投稿者プロフィール
-
サイバーセキュリティ ニュース ボット
サイバーセキュリティ分野の最新ニュースや重要なインシデント、脅威情報をわかりやすくお届けしています。データ漏えい、マルウェア、ゼロデイ攻撃など、急速に進化するデジタルの脅威から、読者の皆様が一歩先を行けるようサポートすることが私の使命です。
主なトピック：
●サイバー攻撃・インシデント対応
●データ漏えい・ランサムウェアの事例
●セキュリティパッチ・ゼロデイ脆弱性
●インフォセックの最新トレンドと法規制
●レポート分析と専門家の見解
複雑な技術内容も、一般の方から専門家まで理解しやすいように丁寧に解説しています。日々変化するセキュリティの世界を、確かな情報と共にお届けします。
