ゲームメーカーのカプコンは10月22日、会員サービス「CAPCOM ID」が第三者による不正アクセスを受け、全世界で1177万4247件の顧客情報が外部に流出したと発表した。個人情報を巡る大規模なインシデントは連日のように報じられており、同日には電子書籍ストア「コミックシーモア」で最大約420万件、前日にはふるさと納税サイト「ふるさとチョイス」で445万件超の流出が明らかになるなど、被害の拡大に歯止めがかからない状況が続いている。
カプコンが公表したところによると、漏えいしたのはメールアドレス、アカウントの作成日時、最終ログイン日時、ログイン回数、最終ログイン時のIPアドレス。このうち43件では生年月日やニックネームも含まれ、196件ではログインパスワードが不正に変更されていたという。同社は10月19日に不正アクセスの痕跡を発見し、直ちに通信を遮断。翌20日には対策本部を設置して対応に乗り出した。
「ふるさとチョイス」「コミックシーモア」も—9月以降の流出、286件に
個人情報流出の報告は、今や日常的なニュースとなりつつある。SmartScopeの集計によれば、9月1日から10月21日までの約2カ月間で国内の情報漏えい・不正アクセスは286件に上り、うち60件は10万件以上の規模とされる。特に10月21日から22日にかけては、カプコンに加え、ふるさとチョイスとコミックシーモアの大規模流出が相次いで報じられた。
ふるさとチョイスを運営するトラストバンクによると、流出した情報には氏名や住所、生年月日に加え、寄附控除の試算額やパスワードも含まれる可能性があるとされる。コミックシーモアの運営元は、最大約420万件の個人情報が流出した可能性を認めており、被害規模はさらに拡大する見通しだ。
なぜ流出情報が危険なのか—組み合わせて使われる攻撃の手口
流出したデータは、単体ではすぐに金銭的被害を生まないように見えても、複数の情報を組み合わせることで悪用のハードルが大幅に下がる。メールアドレスと利用しているサービスの種類が特定できれば、仮想通貨取引所や本人確認手続きを装ったフィッシングメールを、受け取る側に「心当たりがある」形で送りつけることが可能になる。
特に深刻なのはパスワードの使い回しだ。あるサービスから流出したパスワードを別のサービスでも使っていれば、取引所のアカウントへの不正ログインを試みられるリスクが生じる。ふるさとチョイスのケースでは、寄附控除の試算額が流出した点も見過ごせない。所得の目安が分かるこうした情報は、資産を持っている可能性が高いユーザーを絞り込む手がかりとして悪用され得る。
警視庁が注意喚起—仮想通貨の不正送金リスクも
相次ぐ情報流出を受け、警視庁は10月21日、想定される被害事例をホームページで公開した。特殊詐欺や侵入窃盗に加え、流出したパスワードを使った資産の無断売却や不正送金にも言及。仮想通貨は一度送金されると取り戻しが極めて困難なことから、取引所のアカウントでは特に警戒が必要だとしている。
警視庁が推奨する対策は具体的だ。まず、複数のサービスでパスワードを使い回さないこと。二段階認証については、SMSよりも認証アプリやパスキー（指紋や顔認証でログインする仕組み）の利用が推奨されている。取引所のアカウントでは、出金先アドレスを事前登録したものに限定する「ホワイトリスト方式」を有効にするのが有効だ。取引所を名乗るメールが届いた場合、本文中のリンクはクリックせず、公式アプリやブックマークからログインするのが基本とされる。長期保有目的の資産は、秘密鍵をネットワークから切り離して保管するハードウェアウォレットで管理する手もある。
NHKの報道によれば、警視庁には10月21日までの約1カ月間で、流出情報の悪用を不安視する利用者から約600件の相談が寄せられている。金融庁も10月9日、相次ぐ漏えい事案を踏まえ、サイバーセキュリティ対策と非対面での本人確認について注意喚起を出した。業者側の対策強化はもちろん、利用者一人ひとりが自らの情報を守る意識と行動を問われる局面を迎えていると言える。
