平穏な日常が続いていると思ったら：お名前.comメールマガジン誤配信に巻き込まれる！リスク評価と対策

イントロダクション

朝ニュースサイトを見ていたら、「ＩＴ企業:メール１６万件、別人に誤送信」というニュースが目に留まりました。

またどこかの企業が個人情報の流出をしてしまったのかーと、日常的な出来事かのように、何気なくそのニュースを開いたところ、次の一文に目を奪われました。

引用　ここから

ＩＴ企業「ＧＭＯインターネット」（東京都渋谷区）は４日、インターネット上の住所に当たるドメインの登録サービス「お名前　．ｃｏｍ（ドットコム）」で、会員向けメールマガジン１６万４６５０件分を誤って別人に送信したことを明らかにした。

引用　ここまで

ＩＴ企業:メール１６万件、別人に誤送信
http://mainichi.jp/select/news/20141205k0000m040093000c.html

まるで、自分自身には影響の及ばない現象のような気がしていて、平常心でいたのが一転、一気に心拍数が上がりました。

GMOインターネット、お名前.com、どこかで聞いたことがあるかと思いきや、自分自身が独自ドメインを取得した時に使用したところでした。

騒ぎの渦中へ

これはマズイ！！
そうはっきりと思いました。

とりあえず、メールボックスをチェックだ！と思い、受信トレイを確認すると、ありました。

他の人の名前が書かれた会員向けメールマガジンと、お詫びメールが。あちゃー。

他の人の名前で誤送信が来ているということは、自分の名前で誤送信されているメールがある可能性があります。

追記：
その後届いたメールにて、このメールが届いた人は誤送信により他の人へ情報が送信されたとはっきり明記されていたので、完全に流出していました。

公式発表と、実際にメールの文面を見て確認してみると、他の人へ流出したのは以下の 3 点の情報です。

法人名または名字(姓)
ドメイン名
会員ID

公式発表：

(2014/12/4 時点)

お名前.comメールマガジン誤配信に関するお詫び | ドメイン取るならお名前.com - ドメイン取得年間380円〜
http://www.onamae.com/news/domain/141204_1.html

(2014/12/5 時点)
メールマガジン誤配信についてのご報告とお詫び | ドメイン取るならお名前.com
http://www.onamae.com/news/domain/141205_1.html

個人でやっている場合には、流出した情報だけで個人を特定するのは難しいはずです。
（珍しい姓の人や、ドメインのサイトで公表している情報で特定できる可能性は否定できませんが。）

会員向けメールマガジンに記載されていた情報が、姓のみだったことは不幸中の幸いでしょうか。

万が一、姓と名が両方記載されていたら、一個人と運営しているサイトが関連付けられるところでした。

流出した情報の中で、唯一変更可能な情報は会員ID だけでしょう。

（法人名や姓、ドメイン名は変えようと思っても変えられるものではないですし。）

従って、利用者に出来る行動は、会員ID を変更するくらいでしょう。

公式のアナウンスでも、会員ID を変更する手順について、記載がありました。

会員 ID が他者に知られることのリスク

会員 ID が他者に知られることのリスクとしては、サービスへ不正ログインされることが挙げられます。

お名前.com の場合、サービスに不正ログインされるとどのようなことが可能になるでしょうか？

私がわかる範囲内では、

個人情報の閲覧
ドメインの設定変更、新規申込、移管、解約
その他サービスの申し込み、変更、解約

などが挙げられます。

その結果、発生する被害としては、

個人情報の流出
所有ドメインへのアクセスを不正なサイトへ転送
所有ドメインを失う
各種サービスを勝手に申し込まれる（金銭的損失）
各種サービスを勝手に解約される（サービス停止）

などが考えられます。

不正ログインした者が愉快犯ではなければ、特に警戒しなければならないのは所有ドメインへのアクセスを不正なサイトへ転送されたり、所有ドメインを奪われるケースでしょうか。

この場合、所有しているドメインに価値があればあるほど、犯罪者の利益が大きくなってしまいます。

会員 ID を変えるべきか、変えなくても良いか

会員ID を変えるべきという考え

一般的に、インターネット上のログイン機能では、会員ID とパスワードの双方がわからないことによって、セキュリティを高めています。

そのため、会員ID がわかってしまうと、あとはパスワードのみ分かればログイン可能になってしまうため、セキュリティの強度は大きく低下してしまいます。

また今回は、送信先メールアドレスと掲載情報の組み合わせに相違が発生し、本来受信するはずだったメールが、他の人に送信されるという誤配信だったため、おそらくは流出した情報を受け取ったのはそのメールを見た 1 名だけでしょう。
（組織内でメールを共有している場合などには、複数名が見ている場合はあります。）

その人さえ、善人であれば、今回の流出による影響はなかったと考えることができますが、他者に善を期待するのは、大きなリスクです。

会員ID を変えなくても良いという考え

一方で、会員ID が漏れたとしても、パスワードは漏れていないため、十分な長さのパスワードが設定されていれば、直ちに脅威とは言えません。

世の中の Webサービスでは、そもそもログインに必要なアカウント名が公開されているものもあります。

例えば、Twitter、gmailといったサービスが挙げられます。

Twitter であれば、タイムラインを見れば、そのユーザのログインに必要な名前を知ることができます。

gmail であれば、メールアドレスがログインに必要なアカウント名として利用されています。

ただし、今回のお名前.com で扱っている情報・行えることと、それらで扱っている情報・行えることは異なるので、適切なリスク評価が必要です。

また、gmail であれば、二段認証を取り入れることで、不正ログインを難しくする仕組みがあります。

そのような違いを考えて、会員 ID を変更しないリスクについて評価することが必要です。

また、前項で記載したように、今回の誤送信で情報を受け取った人は 1 名程度の少人数に限定されているはずです。

その人が善悪関係なくその誤送信された会員 ID を外部に送信したり、悪意を持ってログインを試行しなければ、問題は起こらないはずです。

私自身はどうするか？

私自身の場合、運用しているドメインは 1 つのみであり、かつ、そのドメインで本格的に Web サイトを運用していないこと、そして、十分な強度のパスワードを設定していることから、しばらくは様子を見ることにしようと思っています。

もし、不正ログインが行われているというような続報があれば、会員 ID を変更することを検討したいと思います。

なお、十分な強度のパスワードが設定されていたとしても、ひたすらランダムなパスワードでログインを施行され続けられれば、いつかはログインされてしまうかもしれません。
（とはいえ、十分に強度があるパスワードなので、大量の試行が行われていれば、不正ログインとして検知はできるはずです。（運営側で検出のための仕組みがあれば。）
また、かなりの手間（とはいえ、自動化ツールがあればそれほど手間とは言えないかもしれませんが）と時間がかかるはずです。）

そのため、定期的にパスワードの変更をしようと思っています。

また、不正ログインが行われ、各種手続きが行われた場合には、手続きが行われたことがメールで通知されるはずです。

そのため、お名前.com からの通知メールのチェックを欠かさないようにしたいと思います。

注意

なお、これはあくまで私自身の考えた結果であり、流出被害を受けた皆様に置かれましては、リスクを評価し、適切な対応をとっていただきたく思います。

Dr.ウーパのコンピュータ備忘録

2014年12月6日土曜日