SourceNextは10月15日、会員情報管理システムへの不正アクセスにより、最大22,519,960件の顧客記録が流出した可能性があると発表した。SourceNextのデータ侵害における2,200万件という数字は、日本企業が経験した最大級の情報漏えいの一つとなっており、同社のアカウントを一度でも持ったことがある人は真剣に受け止めるべきだ。

現時点で入手可能な詳細は限られているため、本記事は報道された内容に限定し、今すぐ取れる実践的な対策に焦点を当てる。

SourceNextが開示した内容と漏えいの規模

報道によると、同社は会員情報管理システムへの不正アクセスにより、最大22,519,960件の顧客記録が流出した可能性があると述べた。文言が重要だ。同社は記録が流出した可能性があると述べており、この数字は確定した盗難件数ではなく上限値である。

元の報道では、影響を受けた記録にどのような項目が含まれていたかは明示されておらず、推測するつもりはない。同社が内訳を公表するまでは、会員アカウントの作成や管理時に提供したあらゆる情報が関係している可能性があると想定するのが最も安全だ。通常は連絡先情報やアカウント認証情報が該当するが、確定したリストについては同社自身の通知を確認してほしい。

なぜこの漏えいが日本の最大級に位置するのか

報道によれば、このインシデントは日本企業による2番目に大規模なデータ漏えいである。約3,504万件の漏えいのみがそれより上位に位置する。

規模は厳しいランキングでの順位だけでなく重要だ。データベースが数千万人をカバーする場合、流出した記録は大規模なキャンペーンを展開する犯罪者にとって有用な原材料となる。数百万の連絡先に対して成功率が低くても、多くの被害者を生み出す可能性がある。これが、大規模な漏えいの後に、無関係なサービスへの詐欺メッセージやログイン試行の波が続く傾向がある理由だ。

これはまた、消費者に影響を与えた最近の日本企業のインシデントの中で唯一のものではない。今年の秋口には、慶應グループ企業へのランサムウェア攻撃がシステムを混乱させ、小売店でのカード決済に影響を与えた。原因は異なるが、どちらの事例も、単一の侵害されたシステムが一般顧客にまで波及しうることを示している。

影響を受けた顧客が二次的なフィッシングを見分ける方法

このような漏えいの最も可能性が高い結果は、あなたのアカウントが劇的にハッキングされることではない。説得力のあるメッセージの洪水だ。顧客記録を保有する犯罪者は、あたかも同社から送られたかのように見えるメールやテキストを送信し、あなたの会員資格や購入に言及することができる。

以下の兆候に注意してほしい：

  • 緊急性。 アカウントが閉鎖されるとか、数時間以内に対応しなければならないと主張するメッセージ。
  • リンク経由でのログイン要求。 正規の通知が、パスワードや支払い情報を「確認」するためにリンクをクリックするよう求めることはほとんどない。
  • 予期しない返金や補償の申し出。 漏えい通知は詐欺師が好んで使うカバーストーリーだ。
  • わずかに異なる送信元アドレスやドメイン。 表示名だけでなく、完全なアドレスを確認してほしい。

疑わしい場合は、メッセージ内のリンクを使わないこと。自分でアドレスを入力して同社のウェブサイトを開くか、すでに持っているブックマークを使い、そこにある通知を確認してほしい。

あなたにとって何を意味するか

SourceNextのアカウントを一度でも持ったことがあるなら、同社が別のことを言うまで、あなたの情報が影響を受けた集合に含まれている可能性があると想定してほしい。現実的なリスクは、標的型フィッシングと認証情報の使い回しだ。認証情報の使い回しとは、攻撃者が同じメールアドレスとパスワードの組み合わせを、メール、ショッピング、銀行口座など他のサービスで試すことを意味する。複数の場所で一つのパスワードを使っていた場合、一社での漏えいが他の場所への扉を開く可能性がある。

SourceNextを一度も使ったことがないなら、この特定のインシデントはあなたに直接影響しないが、以下の習慣は関係なく採用する価値がある。

漏えい後に露出を抑えるための手順

  1. 使い回しているパスワードを今すぐ変更する。 SourceNextのパスワードから始め、同じものを使っていた他のアカウントも変更する。メールを最優先に。メールは他のすべてをリセットできるからだ。
  2. 固有のパスワードを使う。 パスワードマネージャーは、サイトごとに異なるパスワードを生成・保存することでこれを管理しやすくする。
  3. 二要素認証を有効にする。 パスワードが盗まれても、第二の要素があれば使用がはるかに難しくなる。認証アプリやハードウェアキーは、一般的にSMSコードより強力だ。
  4. 漏えい監視を設定する。 多くのブラウザ、パスワードマネージャー、無料サービスが、あなたのメールアドレスが既知の漏えいに現れたときに警告してくれる。
  5. アカウントの活動を確認する。 最近のログインや送信メールに見覚えのないものがないかチェックする。
  6. 一方的な連絡には注意する。 SourceNextの会員資格に言及するメッセージは、公式チャネルで確認するまで疑わしいものとして扱ってほしい。

結論

SourceNextのデータ侵害における2,200万件の記録開示は、企業があなたのデータをどれだけうまく保護するかはコントロールできないが、漏えいがどれだけの損害をもたらすかはコントロールできるということを思い出させる。SourceNextの顧客である可能性があるなら、今日中に使い回しているパスワードを変更し、二要素認証を有効にし、漏えい監視を設定してほしい。企業のインシデントが日常の消費者にどう波及しうるかについては、慶應のランサムウェア攻撃に関する私たちの報道を読み、何が流出したかを確認するSourceNextからの更新に注目してほしい。