infoQで個人情報の持ち出し確認。最大94万8,498件とポイント不正交換611件

まず初めに

アンケートに答えて貯めたポイントが、本人の知らないところでギフトコードに化ける。利用者が期待した「交換」は、そういう意味ではない。全額補填の方針は大切だが、財布の帳尻と個人情報の扱いは別の話。611件を611人に増やしたり、最大件数を確定件数に変えたりしても、説明が良くなるわけではない。ここは電卓より先に、発表の単位をそろえたい。※個人の感想です

何が起きているのか

10月5日の公式発表によると、第三者による不正アクセスふせいあくせすは10月2日以降に行われ、10月3日午前、会員からの問い合わせを受けた調査で確認されました。発生した期間と会社が確認した日時は同じではありません。

日時	公式発表の対応
10月2日以降	不正アクセスが行われていたことが後の調査で判明
10月3日午前	会員の問い合わせを受け、不正アクセスを確認
同日11時24分	Amazonギフトコード・GMOポイントへのポイント交換を停止
同日14時15分	攻撃経路を遮断
同日15時	外部からinfoQへのアクセスを遮断し、サービスを停止
10月5日	個人情報保護委員会へ報告。対象会員へ順次メールで個別連絡する方針

同社は個人情報の持ち出しを確認したとしています。対象は10月5日時点で同社が保有する全件にあたる最大94万8,498件で、氏名、フリガナ、性別、生年月日、メールアドレス、住所、電話番号、暗号化されたパスワード、会員ID、その他の会員登録情報です。クレジットカード情報とマイナンバーは保有していないと説明しています。

ポイントの不正交換は611件、合計2,869,500円で、交換先はAmazonギフトコードです。「等」を付けて別の交換先まで被害確認済みと広げません。同社は不正交換されたポイントを全額補填するとしています。

原因については、使用していたソフトウェアの脆弱性ぜいじゃくせいを悪用して侵入したことを確認したと説明しています。セキュリティ専門会社の協力で調査を続けており、具体的なソフトウェア名・脆弱性の識別情報、修正の遅れがあったかはこの発表から確認できません。

なぜ重要なのか

個人情報の持ち出しとポイントの不正交換は、どちらも会社が確認した被害です。ただし、この二つが起きたことだけで「持ち出した情報を使ってポイントを交換した」という攻撃の経路まで立証されたわけではありません。

また、ポイントの全額補填は、個人情報に関する影響の調査が終わったという意味ではありません。公式発表は調査継続と再発防止策の追加公表を案内しています。暗号化されたパスワードについても、方式や保護の強度をこの記事で検証したものではありません。

私たちへの影響

同社は対象会員へ10月5日から順次メールで個別に連絡するとしています。連絡がまだ届かないことだけで対象外と判断せず、公式発表を確認してください。身に覚えのないポイント交換がある場合は、発表に記載された問い合わせ窓口へ連絡するよう案内しています。サービス停止中に履歴画面へアクセスできるとは限りません。

同社は、infoQと同じパスワードを他のサービスでも使っている場合、そのサービスのパスワード変更を勧めています。これは公式の利用者向け案内です。同社やinfoQを装う不審なメール・SMS・電話にも注意を促しています。届いた連絡のリンクから個人情報を入力する前に、正規の案内か確認してください。

補填は方針の発表であり、全会員への補填完了をこの記事で確認したものではありません。個別の対象・手続きは会社の案内で確認する必要があります。

初心者が知っておくべきこと

「最大」は対象範囲の上限、「611件」はポイント交換の件数です。会員数や確定した持ち出し件数と置き換えないことが大切です。また、暗号化は保存時の保護に関する説明であり、その一語だけで悪用されないと保証するものではありません。

IT Postの見方――補填と調査報告は、別の勘定だ

IT Postでは、不正交換分を全額補填する方針は必要な対応として評価する。一方で、ポイントを戻す話と、個人情報の被害範囲・侵入経路を説明する話は、別の勘定だと考える。

補填の発表で調査報告まで支払い済みにはならない。ただ、今回の資料から「修正をサボった」「補填で幕引きを狙った」と会社の管理や意図まで決めつけるのも早い。IT Postでは、追加公表される調査結果と再発防止策で、その説明の中身を見たい。

今後どうなりそうか

同社は調査結果を踏まえて再発防止策を講じ、安全性を確認したうえでinfoQを再開し、調査結果と再発防止策を改めて知らせるとしています。10月5日発表では再開日は示されていません。停止・補填・再開の最新状況は公式案内で確認してください。