日能研がSQLインジェクション被害、最大28万アドレス流出の可能性

中学受験関連サービスを提供する株式会社日能研は2022年1月29日、同社のホームページデータの格納先であるウェブサーバーが何者かのサイバー攻撃を受け、最大28万106件のメールアドレスが流出した可能性があると明らかにしました。

日能研によれば、同社が事態を把握したのは2022年1月11日のことで、攻撃者は不正なコードを注入し本来運営側が想定しない事態を引き起こす「SQLインジェクション」と呼ばれる手口で同社のウェブサーバー攻撃し、情報を窃取した疑いがあるとのこと。

ただし、同社が調査したところ、流出懸念の生じているデータはメールアドレスに限定され、住所や電話番号に講座情報および成績関連データなどは流出対象外と判明。同社は攻撃者の接続元を遮断したうえで原因となった脆弱性を修正したとしています。

スパム等に悪用の可能性、注意喚起メールを発信

日能研は現在、不正アクセスによる情報流出の懸念が生じているユーザーに向け、順次謝罪と注意喚起のメールを送信しています。

同社によると、メールアドレスが悪意のある人物に渡った可能性から、今後スパムメールやフィッシング詐欺メール等に利用されかねない状況とのこと。このため、対象ユーザーに不審メールに促されるままパスワードや個人情報を入力しないよう、注意を呼び掛けています。