アンケートサイト「D STYLE WEB」で、結構大規模な不正アクセス・不正ポイント交換が発生したようですので、記事にしてみます。
利用者の方はメールで知らされているかもしれませんが、中には登録だけして、メールは全部迷惑メールにしてしまっている、という方もおられるかもしれませんし、一応書いてみます。
「D STYLE WEB」には登録していないという方も、もしかしたら関係あるかもしれません。
「D STYLE WEB」への不正アクセスは、「
パスワードリスト攻撃」という攻撃手法が用いられたらしいのです。
要するに、どこかから漏れたパスワードのリストを使って、片っ端から不正アクセスが試みられたようなんです。
パスワードのリストは、どこから漏れたのか分かりません。
もしかしたら、皆さんが登録した何らかのサイトから漏れたのかもしれません。
というわけで、「D STYLE WEB」に登録していない方でも、無関係ではいられないかもしれないんです。
特に、メールアドレスとパスワードを使いまわしている方はご注意を。
今回は関係なくとも、そのうちトラブルに巻き込まれるかもしれませんよ。
さて。
事の次第を噛み砕いて自分なりに書いてみようと思ったのですが、それよりもメールの内容をそのままコピペするほうが、運営側の言葉遣いやニュアンスが分かっていい気がしますので、長いですが、ここは全文コピペしたいと思います。
て、手抜きじゃないっすよ（嘘
というわけで、以下引用。
弊社モニターサイトへの不正アクセス・不正ポイント交換に関する
お知らせとお詫び
日頃は、株式会社マーシュ（以下当社という）が運営するアンケートモニタ
ーサイト「D STYLE WEB」（以下当サイトという）へのご参加、ご協力ありが
とうございます。
この度、登録会員様の情報に対し、外部からの不正アクセス・攻撃があり、
一部の登録会員様の情報が閲覧された可能性があることが判明いたしました。
また、更にアンケート参加時に進呈されるポイントを不正に交換したり、メ
ールアドレスを勝手に変更したりするなどの犯行も確認されております。
概要と対応について、下記のとおりご報告いたしますと共に、登録会員様
に対し、多大なるご迷惑及びご心配をお掛けする事態に至りましたこと、深
くお詫び申し上げます。
また、平成26年10月28日の本件の発覚から、正確な被害状況の確認と更な
る被害の拡大を防ぐための措置・対処に、時間を要してしまい、このタイミ
ングでのお知らせとなりましたことを重ねてお詫び申し上げます。なお、本
件につきまして、所轄警察署に通報を行い、捜査依頼をすると共に、個人情
報の漏えい事故として、プライバシーマーク認定機関への事故報告を行って
おります。
【概要】
弊社では、登録会員様の情報を取り扱わせていただくにあたり、プライバ
シーマークを取得の上、一定のセキュリティ環境を構築し、運営をさせてい
ただいております。 しかしながら、これまでのログ情報の解析を含む、社
内調査の結果では、不正なアクセスに使用されたID及びパスワードは、当社
で使用されていないものが多数含まれており、何らかの方法で入手された大
量の個人情報リストを使用した「パスワードリスト攻撃」の可能性が濃厚で
あるとの見解を持っております。このパスワードリスト攻撃を経て、不正ロ
グインに成功した後に、不正ポイント交換などの犯行に及んだものと考えら
れます。
不正ログインされた件数（個人情報の閲覧の可能性）
108,185件
閲覧された可能性がある情報
氏名、メールアドレス、パスワード、生年月日、性別、郵便番号、住所、
職業、電話番号、アンケートポイント数
不正にポイント交換された件数
47件
上記に関しましては、本日までに明らかになっている情報となります。新た
な状況が発覚次第、随時報告して参ります。
【発覚の経緯と当社の対応】
平成26年10月28日（火）
弊社の登録会員様問い合わせ窓口に、ログインできないという問い合わせ
をいただく。その後、状況確認をおこなう最中、数件同様の問い合わせを
いただくことにより、アクセス解析を実施いたしました。
平成26年10月29日（水）
アクセス解析の結果、10月9日（木）～28日（火）にかけて、特定のIPアド
レスから、不正と思しき、ログイン及び不正ポイント交換の痕跡を確認し、
直ちに当該アドレスのアクセス遮断処置を行い、一部のポイント換金サービ
スを一時凍結いたしました。
平成26年10月30日（木）
モニターサイトへの不正アクセス・不正ポイント交換における社内事件・
事故特別対策委員会を設置し、業務委託先であるサーバー管理会社含め、
対策検討を行うと共に、詳細ログ解析を実施しいたしました。
平成26年10月31日（金）
所轄警察署に、不正アクセス・不正ポイント交換被害状況を通報し、必要
な対処策等の検討を行い、セキュリティの向上計画を策定し、対処を開始
いたしました。
平成26年11月4日（火）
所轄警察署に出向き、不正アクセス・不正ポイント交換被害状況について
対面で説明の上、捜査依頼をいたしました。
平成26年11月5日（水）～現在まで
更なるログの解析により、被害状況の数値的把握。パスワードリセット及
びパスワード再設定の対応準備、お問い合わせ窓口等の登録会員様への社
内的ご案内体制の準備、構築をいたしました。
※これらの体制準備完了と被害拡大の阻止準備を以って、当お知らせを発信さ
せていただいております。
【登録会員様へのお願いにつきまして】
この度、前述のとおり、不正なポイント交換目的の犯行が行われており、
犯人が特定、確保されないうちは、再度同様の犯行に及ぶ可能性が
ございます。そのため、登録会員様におかれましては、大変お手数をおかけい
たしますが、一旦、弊社にて、全ての登録会員様のパスワードをリセットさせ
ていただき、仮パスワードより、新たなパスワードの再設定手続きをおこなっ
ていただきたく、お願い申し上げます。なお、手順等につきましては、別メー
ルにて、仮パスワードと共に本日ご連絡をさせていただきます。
【今後の対応等につきまして】
１）今回、上記のお願いのとおり、パスワードリセットから、再設定手続きを
行っていただくことにより、今回と同様の手法を使っての二次被害や更な
る不正ポイント交換を防止して参ります。また、並行して、監視体制を強
化しておりますので、不自然なパスワードリスト攻撃を受けた場合、速や
かに発見、対処をいたします。
２）これまで、当社サイトで設置しておりましたセキュリティ対策のレベル引
き上げを施すと共に、今後不自然なアタックに対する検知システム性能向
上化やパスワード入力試行制限を掛けるなどのセキュリティ強化策を11月
17日（月）頃の構築完了に向けて実装し、一層安全性の向上を目指します。
３）今回、不正にポイント交換された登録会員様（被害者）には、誠意をもっ
て、補償等の対応をさせていただきます。なお、補償等につきましては、
近日中に当社より、個別にご連絡をさせていただきます。
４）本件につきましては、事故と事件として認識し、引き続いて所轄警察署に
相談、報告すると共に、捜査を要請して参ります。
その他、本件での大きな状況変化が発生した際は、随時、ご報告させていただ
きます。
引用終わり。
不正ログインされた件数が108,185件というのは凄まじいですね。
これ、この数だけアタックされたということなのか、それともこの数全部、不正アクセスされてしまったということなのか、ちょっと判断に迷うところですが・・・
どうなんでしょう。
それだけ突破されてしまったら、不正にポイント交換された件数が47件というのは、少なすぎる気もしますが・・・
う～ん・・・
発覚の経緯と対応を時系列で書いてくれるのはありがたいですね。
どんな風に対応してきたのか、よく分かります。
ちゃんと警察にも届けているようですので、そのあたりは安心しました。
ただ、やっぱりこのメールが届くのがおそいんじゃないかな、という気はします。
このメールを受信したのは、１１月１０になってからです。
「善後策を整えてから知らせたい」という気持ちは分かりますが、やっぱり初報は、拙くてもいいのでもっと早くして欲しかったです。
今現在は、特設の情報提供ページができたりして、さらに情報公開が進んでいます。
このあたりはなかなか誠意がある対応なんじゃないかと思います。
ポイント交換されてしまった方への保障に関してはまだ発表はありませんが、この様子だと、ちゃんとしてくれると思います。
ちなみにですが・・・・
わたしは
以前、不正換金されてしまったことがあるんですが・・・
ええ。
音沙汰ありませんよ。
メールも無視されてますよ。
これだから海外系は・・・（ﾎﾞｿｯ
それに比べたら、「D STYLE WEB」は全然マシですｗ
少なくとも、ちゃんと報告してくれますからね～。
あとは、今後同じことが起こらないよう、セキュリティレベルを上げて欲しいですね。
ついでに。
この件、infoQでも注意を促していますね。
他サイトのことなのに、不正ログインがないか調べてくれたみたいですね。
その上で、注意を促してくれています。
これはinfoQへの好感度が上がりますね～。
ともあれ、パスワードのリストがどこから漏れたのか分からない以上、どのサイトで不正アクセスの被害にあうか分かりません。
皆さんもこれを機に、パスワードを変更することをオススメします。
・・・・て・・・・・
そうは言っても、メンドクサイんですよね～。
わたしも既にやる気をなくしていますよ・・・('A`)
今回は好感度が上がったinfoQのバナーを張っておきます。
infoQはアンケート以外にも、「戦国！姫のお宝さがし」や「ポイント畑」があり、なかなか稼げるサイトですよ♪
ちなみに、infoQはポイントタウンと同じＧＭＯ系列です。
ポイントタウンも稼げるサイトですので、よければ登録してみてください。
最近のわたしの稼ぎ頭のサイトです。
↑現在キャンペーン中で、ここから登録すると、普段の２倍の１０００ポイントがもらえます。
登録時、携帯アドレスを登録しなければなりませんが、換金時の本人確認以外でメールが送られてくることはありませんのでご安心を。
もちろん、変なスパムが送られてくることもありませんよ。
ポイントタウン解説
追記ECナビのもらえるチラシ、今日（１１月１３日）出てますよ～！
５０００円ゲットのチャンスですので、お見逃しなく。
↑ここから登録すると、５００ポイントもらえます。
ＥＣナビ解説
- 関連記事
-
