無料会員登録
全国自治宝くじ事務協議会が運営する宝くじ公式サイトは11月5日、お客さまのパスワードが意図せず変更される事象が確認されたとして、サイトの利用を一時的に停止していると発表した。原因や影響範囲は公表されておらず、会員情報に含まれる名前や決済情報の漏えいの可能性が調査されている。
概要
宝くじ公式サイトで、利用者のパスワードが本人の意図に反して変更される事象が確認された。報道によると、午前10時ごろからサイトの利用が停止されている。事象の原因は、公式発表では示されていない。
スポーツニッポンは、今回の事象の原因などは現時点で公表されていないと報じた。一部の報道は不正アクセスによる被害として伝えているが、公式の告知に不正アクセスと明記した記述は確認できなかった。
公式サイトの告知と報道によると、時系列は次のとおり。
11月5日午前10時ごろ、サイトの利用が停止された。
同日、公式サイトと公式Xで、事象の確認と利用停止が告知された。告知には、他サービスで同じIDとパスワードを設定している場合は変更を検討するよう求める一文が含まれる。
同日夜、ANNなどが、利用者の名前や決済情報が登録されているため漏えいの可能性を調査していると報じた。11月6日の時点で、復旧の時期は公表されていない。
被害・影響の範囲
漏えいの可能性がある情報は、会員情報に登録された名前や決済情報とされる。報道では、これらの情報が登録されているため、漏えいの可能性を調査しているとしている。実際に漏えいしたかどうかは、確認されていない。
パスワードが変更された利用者の人数は、調査中である。影響の範囲は確認中で、詳細が確認でき次第、対象の利用者に連絡するとされる。含まれない情報や二次被害の有無は、公表されていない。
対面での宝くじ販売は、通常どおり行われている。公式サイトの継続購入キャンペーンは、利用停止中のため申し込めない。
なお、ANNは同じ記事で、別件としてオンライン面接システムなどを提供するApplyNowの情報漏えいも伝えている。利用者約43万人の個人情報が漏えいし、電子雇用契約サービスを利用した3万人余りの一部ではマイナンバーや口座情報なども漏えいしたという。宝くじ公式サイトとの関連は、報じられていない。
企業・団体の対応
公式サイトでは、お客さまに多大なるご迷惑とご不便をおかけしたことへのおわびが示された。影響範囲の特定を急ぎ、詳細が確認でき次第、対象の利用者に知らせるとしている。
技術的な措置として、サイトの利用を一時的に停止し、復旧に向けた対応を進めている。復旧状況は、改めて案内するとされる。
利用者には、他サービスで宝くじ公式サイトと同じIDとパスワードを使っている場合、変更を検討するよう呼びかけている。コールセンターで問い合わせを受け付けているとの報道もある。
警察や個人情報保護委員会への届出については、確認できた範囲では公表されていない。
編集部コメント（読者企業が取るべき対策）
今回の事案では、利用者が操作していないのにパスワードが変更された点が注目される。会員向けサイトを持つ企業は、パスワード変更の不審な挙動を早期に検知し、サイトを止める判断基準を決めておく必要がある。
ログ監視と検知の整備
パスワード変更やパスワード再設定の回数、同一IPからの連続試行、通常と異なる時間帯の変更を監視する。しきい値を超えたときに担当者へ通知する仕組みを設けておく。
変更時の本人確認の強化
パスワード変更時には、登録メールアドレスへの通知と、追加の認証を求める運用を検討する。変更通知メールは、利用者が不審な操作に気づく手がかりになる。
停止判断と告知の手順
被害が疑われる場合にサイトを止める条件と、判断する責任者を事前に定める。公式サイトとSNSで同じ内容を同時に告知できるよう、文面のひな形も準備しておく。
利用者への注意喚起
パスワードの使い回しをしている利用者に、変更を促す案内を用意する。あわせて、企業を装ったフィッシングメールが届く可能性を伝え、メール内のリンクからログインしないよう案内する。
問い合わせ窓口の体制確認
停止や漏えいの疑いが出ると、問い合わせが一時的に集中する。コールセンターや委託先を含め、想定される質問への回答案と増員の手順を確認しておく。
なお、原因、影響を受けた利用者数、情報漏えいの有無は現在調査中とされている。今後の続報に注意されたい。
出典
書籍「セキュリティ対策の基礎知識」
メルマガ登録でプレゼント！
セキュリティ対策で何をして良いかわからない
企業の情シス部門の方必見！
![中小企業の情報瀬キィリティ相談窓口[30分無料]](/wp-content/uploads/2023/07/bnr_footer04.png)
