シグナルトークのMaru-Janで会員185万5,578人分のパスワードが流出｜サイバーセキュリティ.com

  1. ホーム /
  2. サイバーセキュリティ・情報漏洩ニュース /
  3. シグナルトークのMaru-Janで会員185万5,578人分のパスワードが流出
             

シグナルトークのMaru-Janで会員185万5,578人分のパスワードが流出



株式会社シグナルトークは11月7日、運営するオンライン麻雀「Maru-Jan」で外部からの不正アクセスにより、会員185万5,578人分のメールアドレスとパスワードが流出したと発表した。対象は全会員で、同社は全会員にパスワードの変更を求めている。

概要

シグナルトークは、オンライン麻雀「Maru-Jan」への不正アクセスを確認した。調査により、管理システムの機能を悪用した不正アクセスがあったとされる。

この不正アクセスで、11月4日15時頃までに、会員情報を含むデータが外部へダウンロードされたことを確認したという。どの機能がどのように悪用されたのか、具体的な仕組みは説明されていない。

シグナルトークの発表によると、時系列は次のとおり。

11月4日15時頃までに、会員情報を含むデータが外部へダウンロードされた。不正アクセスに気づいた時期は、確認した範囲では公表されていない。

11月7日、侵入経路を特定し、悪用された箇所への対策を実施した。緊急メンテナンスのため、ゲームへのログインとWebの会員ページの利用を停止していた。

11月7日16時、サービスを再開した。同日16時30分に、プレスリリースとして発表した。

委託先など関係する組織の発表は、確認できなかった。

被害・影響の範囲

対象となるのは、Maru-Janの全会員である。流出が確認された情報は、メールアドレスとパスワードである。メールアドレスは、登録している場合に対象となる。

件数は、会員185万5,578人分である。

クレジットカード番号は同社が保有していないため、流出対象には含まれない。氏名や住所などの流出の有無は、確認した範囲では発表に記載がない。パスワードの保存形式（ハッシュ化の有無など）も公表されていない。

二次被害の有無は公表されていない。一方で同社は、流出したメールアドレス宛てに、Maru-Janを装った不審なメールが届く可能性があると注意を呼びかけている。他の組織への影響の広がりは、確認されていない。

企業・団体の対応

Maru-Jan開発責任者の栢氏は、情報を守れなかったことについて、会員に対しておわびした。

技術面では、侵入経路を特定し、悪用された箇所へ対策を施した。そのうえで、11月7日16時にサービスを再開している。

会員には、これまでのパスワードでもログインできるが、そのまま使い続けず、他のサービスで使っていないパスワードに速やかに変更するよう求めている。同じパスワードを他のサービスで使っている場合は、そちらも変更するよう呼びかけている。

不審なメールについては、メール内のリンクを経由せず、普段利用している公式サイトから操作するよう案内している。

おわびとして、会員1人につき3,000ポイント（3,000円分）を用意した。受け取りは11月20日まで可能である。

同社は、サービス再開をもって本件への対応が終わるわけではないとしている。今後は次の取り組みを進めるという。

サーバー、管理システム、業務用PCの点検。不正アクセスの監視強化。情報の管理体制の見直しと強化。今回確認された問題以外の弱点の継続的な調査と、必要な対策の実施。

警察や個人情報保護委員会への届出については、確認した範囲では発表に記載がない。

編集部コメント（読者企業が取るべき対策）

今回の事案では、管理システムの機能が悪用され、全会員分の認証情報が持ち出されたとされる。管理画面や運用向け機能は、一般向けの機能と同じ水準で守る必要がある。侵入経路を塞いだ後も、同じ資格情報が他で使われるリスクは残る。

管理システムの権限と機能の棚卸し
管理画面にある機能のうち、会員情報を一括で出力できるものを洗い出す。利用者の範囲、接続元の制限、多要素認証の有無を確認し、不要な機能は無効にする。

大量ダウンロードの検知
会員データの一括取得や、通常と異なる量のデータ送信を検知する仕組みがあるか確認する。ログを保存して定期的に確認し、異常があれば通知される状態にしておく。

パスワードの保存方法の確認
自社のサービスで、パスワードをどのような形式で保存しているかを確認する。ソルト付きの強力なハッシュ関数を使っているかを点検し、漏えい時の影響を小さくする。

パスワードの使い回し対策
自社の従業員や顧客が、他のサービスと同じパスワードを使っていないか注意喚起する。流出が起きた他社サービスの情報を参考に、不正ログインの兆候を監視し、必要に応じて追加認証を導入する。

フィッシング対策と顧客への情報提供
流出したメールアドレス宛てに、正規の案内を装ったメールが届くおそれがある。公式サイトからの操作を促す案内を顧客に出し、自社から送るメールにはパスワード変更用のリンクを載せない運用を検討する。

なお、今回確認された問題以外の弱点の調査や再発防止策の詳細は、現在調査中とされている。今後の続報に注意されたい。

出典

関連コラム（あわせて、以下の記事もよく読まれています）

No related posts.

製品・サービス（当該コラムの内容に関連する製品・サービスはこちら）

SNSでもご購読できます。