今週、日本と台湾でそれぞれ別々のセキュリティインシデントが確認された。コミックシーモアのデータ侵害は日本最大級の電子書店の一つに影響を及ぼし、メールアドレスとパスワードハッシュが流出したと報じられている。別件では、ACCESSがCROSから1,305件のカードアカウントが盗まれたことを確認した。この2つの事例は無関係だが、合わせて見ると、ログイン認証情報と支払いカードデータという2つの一般的な漏えいの形を示している。

現時点で入手可能な詳細は限られているため、本記事は報じられている内容にとどめ、それが実際に何を意味するのかを説明する。

コミックシーモアとACCESSの侵害で何が漏れたのか

報道によると、コミックシーモアのデータ侵害は日本で人気の電子書店に関わるもので、流出したデータにはユーザーのメールアドレスとパスワードハッシュが含まれる。パスワードハッシュとは、パスワードそのものではなく、パスワードを攪拌（かくはん）したものだ。企業はサーバー上に平文のパスワードを保持しなくて済むよう、ハッシュを保存している。

2件目のインシデントは別件だ。ACCESSはCROSから1,305件のカードアカウントが盗まれたことを確認した。情報源は規模を1,305件のカードアカウントと述べており、我々が確認した資料ではそれ以上の詳細は示されていない。どのフィールドが取得されたのか、攻撃者がどのように侵入したのか、どちらのインシデントの背後に誰がいるのかについて、推測するつもりはない。

強調しておく価値があるのは、これらが2つの異なる企業、2つの異なるシステム、2つの異なる種類のデータだということだ。読者は、一方のインシデントがもう一方と関連していると決めつけるべきではない。

ハッシュ化されたパスワードでもなぜユーザーは危険にさらされるのか

ハッシュだけが盗まれたと聞くと安心できるように思えるかもしれないが、だからといって気を緩めるべきではない。ハッシュは保護の層であって、保証ではない。ハッシュ化されたパスワードがどれだけ安全かは、元のパスワードがどれほど強力だったか、そしてサービスがそれをどのようにハッシュ化したかによる。

攻撃者がハッシュの集合を入手した場合、よく使われるパスワードを推測し、それぞれの推測をハッシュ化し、結果を比較することで逆算を試みることができる。短い、予測しやすい、あるいはよく使われるパスワードは最初に破られやすい。強力でユニークなパスフレーズはずっと復元しにくい。

メールアドレスも重要だ。パスワードが一切なくても、特定のサービスに紐づくメールのリストは、標的型フィッシングに利用できる。たとえば、電子書店から来たと称して再ログインを求める偽のメッセージなどだ。

実際上最大の危険はパスワードの使い回しだ。コミックシーモアのパスワードを他のサイトで使っていた場合、そのハッシュを解読した人物が、同じメールアドレスとパスワードの組み合わせを他の場所で試す可能性がある。これはクレデンシャルスタッフィングとして知られ、人々がパスワードを使い回している場合にのみ機能する。

CROSのカード盗難は影響を受けた顧客にとって何を意味するのか

カードデータは別の問題だ。CROSから1,305件のカードアカウントが盗まれたと報じられているため、影響を受けた顧客にとって主な懸念は不正利用と詐欺の試みだ。カード発行会社は一般に、侵害されたカードの再発行や不正取引への異議申し立ての手続きを備えているが、あなたが問題に気づくか、知らされない限り行動できない。

ACCESSやカード発行会社からこのインシデントについて連絡を受けた場合、その通知を真剣に受け止めつつ、まず確認を行ってほしい。侵害の後には、影響を受けた企業を装う詐欺メッセージがしばしば続く。予期しないメールやテキスト内のリンクではなく、カードに記載された連絡先、または企業の公式ウェブサイトから直接得た連絡先を使うようにしてほしい。

少額のテスト請求はカード不正利用のよくある兆候なので、心当たりのない小さな取引でも発行会社に電話する価値がある。

侵害後にアカウントを守るための手順

パニックになる必要はないが、いくつかの素早い対応で大きな違いが生まれる。

  • 使い回したパスワードを変更する。 コミックシーモアのパスワードを他のどこかで使っていたなら、他のすべてのアカウントで変更してほしい。それぞれをユニークにすること。
  • 二要素認証（2FA）を有効にする。 誰かがあなたのパスワードを持っていても、第2の要素があれば侵入はずっと難しくなる。一般にアプリベースのコードやハードウェアキーのほうがSMSより強力だ。
  • パスワードマネージャーを使う。 長くランダムなパスワードを生成して覚えてくれるため、使い回しの誘惑をなくせる。
  • カードの明細を監視する。 アカウントを定期的に確認し、銀行が提供していれば取引通知を設定し、心当たりのないものはすぐに報告してほしい。
  • 後続のメッセージに注意する。 どちらのインシデントに関する予期しないメールでも、リンクをクリックしないこと。

同じ習慣はあらゆる侵害の後に当てはまる。たとえば、犯罪者が被害者を直接妨害することを狙う攻撃の場合も同様だ。攻撃が裏目に出たAkiraランサムウェアのアフィリエイトの事例のように。攻撃者は間違いを犯すが、それをデータ保護の頼りにしてはいけない。

あなたにとって何を意味するのか

コミックシーモアのアカウントを持っているなら、自分のメールアドレスが第三者の手に渡っている可能性があり、特にパスワードが弱かった場合はパスワードハッシュが最終的に解読される可能性があると考えてほしい。パスワードを変更し、他のどこかで使っていた場合もそこでも変更すること。CROSやACCESSのカードアカウントに関係しているなら、明細を注意深く監視し、連絡があれば公式チャネルを通じて確認してほしい。

どちらのグループにも属していない場合でも、これらのインシデントは有用な注意喚起だ。侵害による被害の大半は後からやってくる。盗まれた情報が、習慣を変えなかった人々に対して再利用されるときに起きるのだ。

主なポイント

コミックシーモアのデータ侵害とACCESS CROSのカード盗難は別々の出来事だが、アドバイスは同じだ。早めに行動すること。使い回したパスワードをユニークなものに置き換え、2FAを有効にし、認証情報をパスワードマネージャーに保存し、カードの利用状況を定期的に見直してほしい。今10分の後始末をするほうが、後でアカウント乗っ取りや不正請求に対処するよりはるかに簡単だ。