パスワードをリセットすれば、アカウントへの侵入経路を1つ閉じることはできる。しかし、詐欺を巧妙に見せる個人情報を取り戻すことはできない。
Sonyの日本向けインターネットサービス子会社Sony Network Communicationsは10月27日、So-netおよびplala（Sコース）の顧客記録258万5481件に関わる情報漏えいを公表した。さらに、特定のSo-netメールサービスで5万4401件のメールアドレスのパスワードも流出し、影響は当初のデータベースにとどまらないリスクを生じさせている。
影響を受けた顧客にとって懸念されるのは、アカウントの安全性だけではない。インターネットプロバイダーになりすますために本物の個人情報を使ったメッセージや電話が、次に届く可能性もある。
So-netの情報漏えいで流出した情報
Sonyの 公式の情報漏えい通知には、10月27日に公開され10月29日に更新された、So-netの顧客記録214万1986件とplala（Sコース）の記録44万3495件の一覧が掲載されている。流出した項目には、氏名、電話番号、メールアドレス、ユーザーID、生年月日、性別、インターネット接続IDが含まれる。
顧客記録の主な2種類にはパスワードは含まれていなかった。一方、Sonyはメールパスワードと、一部のMy Pageログイン認証情報が別途流出したことを確認した。Mail Service（G）、A-Box、So-net VAIO Mail、PostPet Mail Account Serviceに関連する5万4401件のアドレスについて、メールアドレスとメールサービスのパスワードが流出した。Sonyは、無料のSo-net基本メールボックスサービスについてはパスワード流出を確認していないとしている。
Sonyの 顧客向けFAQでも、パスワードリセットの通知に記載された7件の記録に「So-net My PageのユーザーIDとパスワード」が含まれていたことを確認している。同社は、影響を受けたパスワードをリセットしたと説明した。この流出は、メールサービスのパスワードが流出した5万4401件のメールアドレスとは別のものだ。
さらに16件の記録には、口座番号や口座名義人の氏名などの銀行口座情報が含まれていた。Sonyは銀行口座の暗証番号を保有していないと説明しており、流出したデータにクレジットカード情報は含まれていなかった。
NTT Docomoによる別の通知によると、影響を受けた顧客はDocomo Hikariのplala（Sコース）を利用しており、その中には過去6カ月以内に解約した顧客も含まれる。Docomoは、このグループで流出した情報にパスワードや決済情報は含まれていないと説明し、その他のplalaサービスには影響がなかったとしている。
侵入の4日後に検知
Sonyによると、不正アクセスは10月19日に発生し、10月23日に検知された。同社はその後、影響を受けたサーバーを停止し、不正な送信元からの通信を遮断した。調査担当者は10月24日、個人データの流出を確認した。
同社は10月27日に影響を受けたメールサービスのパスワードをリセットし、インシデントを日本の個人情報保護委員会に報告した。原因と範囲の調査は現在も続いている。Sonyは顧客向けFAQで、10月29日時点ではインシデントに関連する二次被害を確認していないと説明した。
この説明からは、重要な区別が浮かび上がる。不正利用が確認されていないからといって、流出した認証情報が一度も使われていないことにはならない。
「Sonyは影響を受けたメールパスワードをリセットしたと説明しており、これは重要な措置です。しかし、パスワードのリセットはタイムマシンではありません」と、Ridge Securityのシニアディレクター、Darin Fredde氏は話す。「それ以前に受信トレイへアクセスされていたかどうかは分かりませんし、誰かの誕生日を変更することもできません」
次の連絡が本物らしく聞こえる理由
顧客の氏名、生年月日、インターネット接続IDを知っている電話の発信者は、プロバイダーのサポート担当者のように聞こえるかもしれない。こうした情報を、発信者が信頼できることの証拠とみなしてはならない。
Secure.comのエンジニアリング責任者、Waseem Ahmed氏は、攻撃者が情報漏えいへの対応そのものを悪用する可能性があると警告した。
「顧客は、So-netやplalaを装ったSMSやメールに注意すべきです。Sonyがたった今リセットしたパスワードを再設定するよう求めるものが多いでしょう」とAhmed氏は話した。
これは、後続詐欺の可能性に関する警告であり、そうしたキャンペーンが実際に発生したことの確認ではない。顧客は、突然届いたリセットリンクをたどるのではなく、プロバイダーの公式サイトからアカウント設定にアクセスすべきだ。さまざまな形態の フィッシング（テキストメッセージ詐欺や電話詐欺を含む）を見分けることも、不審な後続連絡を特定する助けになる。
流出したパスワードは、別の 認証情報スタッフィングのリスクも生む。攻撃者は、顧客が同じ認証情報を使い回している他のサービスでも、その組み合わせを試す可能性がある。
「メールパスワードが流出した人は、それを使い回しているすべてのサービスで変更すべきです。また組織は、多要素認証（MFA）を必須にし、新たなログインを既知の漏えい認証情報と照合すべきです」とAhmed氏は話した。
その情報で侵入される可能性のあるアカウントを守る
メールパスワードの流出を通知された顧客は、影響を受けたメールボックスと、そのパスワードを使い回しているすべてのアカウントの保護を優先すべきだ。流出したMy Page認証情報7件の対象者も、Sonyのアカウントリセット手順に従い、他のサービスで使い回しているパスワードを変更する必要がある。
サービス側で利用できる場合は、最近のサインイン履歴、復旧情報、アクティブなセッション、転送ルールを確認し、多要素認証を有効にする。見覚えのない復旧用アドレスや転送ルールがあれば、パスワードを変更した後でも調査が必要だ。
「流出したメール認証情報は危険な連鎖反応を引き起こします。侵害された受信トレイがあれば、攻撃者は自動化されたパスワードリセットを通じて、連携するサービスを乗っ取れるからです」と、BitwardenのCTO、Andrew Hartnett氏は話す。「組織は、パスキーのようなフィッシング耐性のある認証に、再利用可能な認証情報を置き換えることで、この被害の波及範囲を抑える必要があります」
Hartnett氏は、復旧手段を守ることの重要性も強調した。「しかし、組織がパスキーを導入する中で、アカウント復旧フローを安全にすることも同じくらい重要です。そうすることで、従来のパスワードリセットによる代替手段が、こうした強力な暗号学的制御を意図せず迂回するのを防げます」
セキュリティチームにとって、このインシデントはより広い疑問を提起する。消費者向けサービスから盗まれた情報によって、誰かがヘルプデスクを説得し、職場のアカウントをリセットさせることは可能だろうか。 Microsoft 365のパスキーをテーマにしたフィッシングが示すリスクは、ログインそのものだけでなく、登録、復旧、サポート時の本人確認にも注意を払うべき理由を示している。従業員は、機密性の高い依頼を確立された連絡経路で確認し、すでに公開されている可能性のある個人情報に頼らないようにすべきだ。
この情報漏えいには、元顧客も含まれていた。これは、情報保持が具体的なセキュリティ課題であることを示す。ただし、今回の公表だけでSonyが不適切に情報を保持していたと判断することはできない。各チームは、解約済みアカウントの記録をどれだけ保持しているかを特定し、保持し続ける理由を文書化したうえで、不要なコピーを削除すべきだ。顧客情報を保有していた 配送業者ShipMonkの情報流出は、サービスプロバイダーにもこうした確認を広げるべき別の理由となる。
Ahmed氏は、データベースそのものを監視し、通常とは異なる大量の読み取りやエクスポートを検知したら警告することも推奨した。これは防御のための推奨事項であり、今回の侵入がどのように進んだかについて確定した事実ではない。
実務上の目標は、当面のアクセスと将来のなりすましの両方に対処することだ。認証情報をリセットすれば盗まれたパスワードの価値を下げられ、メールボックスのアクティビティを確認すれば攻撃者の居座りを発見でき、より強固な復旧時の確認によって盗まれた本人確認情報で可能になることを減らせる。サーバーが封じ込められた後も、氏名、生年月日、アカウント識別子は犯罪者にとって有用であり続ける可能性があるため、顧客と組織にはこの3つすべてが必要だ。
続きを読む： Brevoへの侵害によりTrezorの購読者34万7000人にフィッシングメールが送られた経緯と、見慣れた配信経路によって不正なセキュリティ警告を見抜きにくくなる理由を紹介する。