◆ヤフーに不正アクセス／２２００万件の利用者ＩＤ流出か／Webサービスの「パスワード使い回し」注意

　このブログは「ｇｏｏ」といってＮＴＴ系の運営するブログ。
　今年の春、１０万アカウントへの「不正アクセス」事件があり、新聞でも採りあげられた。

　その時、パスワードが流出したと思われるユーザーについては、ｇｏｏブログ側が一旦、アクセスを遮断、
　パスワードを変更、再設定するよう求めた（という）。

　私のブログは何もなかったので、１０日ほどだったか放っておいた。
　そしたら、念のためなんだろう、アクセスを遮断されて「パスワードの変更と再設定」が要求されてきた。

　ところで、ここしばらく前から、 　・・・@yahoo　のメールアドレスで件名無しとか、不審と思われるメールがいくつか来た。
　・・・の部分に、知人の名前が張っていて、「その人のメール」と思わせる「いたずら」は時々聞く。
　（その人は不正アクセスを受けて、「盗まれている」のだろう）

　今回、そんなメールが数件あったと認識している。

　それと関連があるのかないのか不明だけれど、
　ヤフーが一昨日１７日に「当社サーバへの不正なアクセスについて」と公表した。

　報道では、今回のＹａｈｏｏ！の情報流出で、
　　　　「迷惑メールや安全対策を装ったメールの送付なども想定できる。」という。
　何となく、一致した雰囲気の印象。
　
　関連して、セキュリティ専門会社のトレンドマイクロは、
　　　　「『パスワードの使いまわしに注意！』不正ログイン被害が多発 」

と警告している。例えば、

　　4月に報道されたある事例では、779件の不正ログインのうち、94％は2回以内の試行でログインが成功したことから、
　　　　　あらかじめアカウントとパスワードの情報を持っていた可能性が高いとしています。
　　　　同社では、これらの事件の多発、高い不正ログオン成功確率の背景に、「ユーザのパスワードの使い回し」の影響を懸念しています。

　ネットの世界は自分で守ることが不可欠。　

●人気ブログランキング　=　今、２位あたり
　★携帯でも　クリック可にしました　→→　携帯でまずここをクリックし、次に出てくる「リンク先に移動」をクリックして頂くだけで「１０点」　←←

　★パソコンは　こちらをクリックしてください　→→←←このワン・クリックだけで１０点

２０１３年４月９日ブログ　⇒ ◆ｇｏｏブログ・不正ログイン被害の規模 　ＮＴＴ系の「ｇｏｏブログ」。 　１０万アカウントへのアクセスについて 　　　　「【被害規模について】 　　　　　継続して調査を行っておりますが、現在、約10万アカウントのgoolDに対する機械的なアクセス行為を確認し、 　　　　　ログインロックをかけさせていただいております。」

ヤフーの公式ページ 　プレスリリース ／　当社サーバへの不正なアクセスについて 2013年5月17日 ヤフー株式会社 当社サーバへの不正なアクセスについて 　5月16日の21時頃に、Yahoo! JAPAN IDを管理しているサーバに外部からの不正アクセスがあったことが判明しました。4月2日に発生した不正アクセスを受けて監視体制を強化していたところ、不審なログインを検知したものです。調査の結果、最大2200万件のIDのみが抽出されたファイルが作成されていることがわかりました。 　そのファイルが外部に流出したかどうかは確認できていませんが、サーバと外部との通信量からみると流出した可能性は否定できないと考えています。作成されていたファイルには、パスワードやパスワードを忘れたときに必要な「秘密の質問」など、ID以外のデータは含まれていません。IDはサービス上に表示されて誰でも見ることができる公開情報で、ユーザーの皆様の個人情報は一切含まれておりません。 　IDだけでログインされることはありませんが、安心してご利用頂くため、下記リンク先でご案内している対策を講じることをご一考いただければ幸いです。 もっと安全ガイド http://id.yahoo.co.jp/security/ 　今回の不正アクセスは前回の不正アクセス後に実施した対策の中で、関連するアカウントの認証の再設定を社内で徹底させることができていなかったことに起因しております。弊社が対策を徹底できずユーザーの皆様にご心配をおかけすることとなってしまったことを深くお詫び申し上げます。 ・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・ ●もっと安全ガイド もっと安全ガイドYahoo! JAPAN IDとパスワードが誰かに勝手に使われていませんか？ あなたのYahoo! JAPAN IDとパスワードが盗まれて悪用されないための、今すぐできるセキュリティー対策をご紹介します。 ・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・ ● 当社サーバへの不正なアクセスについての状況確認はこちら 当社サーバへの不正なアクセスについての状況確認はこちら

●ＩＤ流出のヤフー、サイト内に不正確認機能を開設
　　　　　　　　　　　　日経　2013/5/18
ヤフーは18日、自社サイト「ヤフー！ジャパン」が不正アクセスされ個人ＩＤが流出した可能性のある問題で、自分のＩＤがその対象かどうか利用者自身が確認できる機能の提供を始めた。流出した可能性があるのは最大約2200万ＩＤ。同社の全体の10分の１にあたる。

　確認機能はＩＤとパスワードを入力して利用する。
トップページ下部にある「ヤフー！ジャパンからのお知らせ」の「不正アクセスについて」をクリック。不
正アクセス対策を呼びかけるページの「もっと安全ガイド」をさらにクリックすると確認用のボタンがあるページに移る。
同ボタンを押すと自分のＩＤが2200万件の対象かどうかが分かる。

　今回の不正アクセスではヤフーのシステム内でＩＤを不正抽出したファイルが見つかった。流出した可能性があるのはＩＤのみ。パスワードなどの個人情報は含まれていないが、利用者にはパスワード変更などを呼びかけている。

　ヤフーは４月初めにもＩＤやパスワードを狙った攻撃を受けたばかり。
専門家によると、ヤフーのようなポータル（玄関）サイトのＩＤとパスワードで、他のサイトにもログインできるケースが増えているため狙われやすいという。

　流出すると被害が広範に及びかねない。
迷惑メールや安全対策を装ったメールの送付なども想定できる。専門家は「ヤフーＩＤの利用者はパスワードを変更すべきだろう」と指摘する。

　ヤフーは17日、ＩＤを管理する社内システムに入るための手順見直しを徹底していなかったことが今回の事態を招いたと謝罪した。見直し作業を現在進めているという。

●２２００万件の利用者ＩＤ流出か　ヤフーに不正アクセス
　　　　　　　　　　　　　産経ビズ　2013.5.18
ヤフーは１７日夜、自社のポータルサイト「Ｙａｈｏｏ！ＪＡＰＡＮ（ヤフー！ジャパン）」の管理システムに何者かが不正アクセスしたと発表した。
約２億件ある利用者のＩＤのうち、最大で２２００万件が「外部に流出した可能性は否定できない」としている。

　流出した可能性があるのはＩＤだけで、パスワードや、パスワードを再設定する際の本人確認に必要な情報などは含まれていないという。ＩＤだけでサイトにログインされることはないが、ヤフーは念のためパスワードを変更するなどの対策を講じるよう利用者に勧めている。

　ヤフーでは４月２日にもＩＤなどを持ち出そうとした不正アクセスが見つかり監視を強化していた。今回の不正アクセスを検知したのは今月１６日の午後９時ごろで、アクセスを遮断してチェックしたところ、ユーザーのＩＤを持ち出そうとした形跡が見つかった。

●Yahoo!のサーバに不正アクセス、「情報漏えい前に遮断」と発表 　　　　　　　　　　　　　　　　　　　Tmedia ニュース 　2013年04月04日 Yahoo! JAPANに侵入した不正プログラムが、約127万件のデータを外部に送信しようとしていたという。 　ヤフーは4月4日、「Yahoo! JAPAN」を管理するサーバへの不正アクセスを検知したと発表した。システムに侵入した不正プログラムが大量のデータを外部に送信する直前に遮断したという。 　同社によると、2日の午後9時過ぎに不正プログラムが作動しているのを発見。Yahoo! JAPANのユーザー名、不可逆暗号化されたパスワード、登録メールアドレス、パスワードを忘れた場合の再設定に必要な情報の一部を抽出した、約127万件のデータのファイルが作成されていた。同社はこの時点で不正プログラムを強制停止させ、データが外部に持ち出されるのをブロックしたという。 　ヤフーは、不正アクセスを防止するための対策を講じているものの、「今回の事態を厳粛に受けとめ、全社を挙げて原因究明と再発防止に取り組む」と説明している。

● Webサービスの「パスワード使い回し」に注意喚起
　　　　　　　　　　　　　RBB Today　　2013年5月7日(火) 20時31分
　2013年に発覚、報道された主な不正アクセス事件トレンドマイクロ株式会社は5月3日、大規模なWebサービスにおける不正アクセス事件が相次いで発生しているとして、注意喚起を同社ブログで発表した。

2013年に発覚、報道された主な不正アクセス事件をみると、3月後半を機に侵入試行と情報窃取を目的としたサーバへのハッキング攻撃から、不正ログイン、つまりWebサービスのアカウントに対するハッキング攻撃へと変化していることがわかる。攻撃を受けた情報通信業者の発表によると、779件の不正ログインのうち94％は2回以内の試行でログインが成功していた。

2013年に発覚、報道された主な不正アクセス事件


これは、あらかじめアカウントとパスワードの情報を持っていたとしか考えられない成功確率であるとし、その背景には、ユーザの「パスワードの使い回し」があると指摘している。同社の調査によると、典型的なインターネットユーザは、14カ所のアカウントに対して1～3種類のパスワードを使い回していた。これは、攻撃者があるユーザのひとつのアカウントのパスワードを奪った場合、他の3～4カ所でも同じパスワードが通用するということを意味する。ブログでは、パスワード管理の注意点と対策ポイントを紹介するとともに、アカウント管理ソフトウェアの使用も勧めている。
　　　　　　　　　　　　《吉澤亨史@ScanNetSecurity


●「パスワードの使いまわしに注意！」不正ログイン被害が多発 ― トレンドマイクロ
　　　　　　　　パスワードの使いまわしに注意！」不正ログイン被害が多発 ―2013/5/7

トレンドマイクロは5月3日、同社ブログで、「パスワードの使い回しに注意！1つの被害からすべてを失う危険性？」と題する記事を公開しました。

ブログ記事によると、今年になって、とりわけ4月以降顕著に報道された大規模Webサービスにおける不正アクセス事件では、3月後半を期に、それまでの侵入試行と情報窃取を目的としたハッキング攻撃から、不正ログイン、つまりWeb サービスのアカウントに対するハッキング攻撃へと攻撃の傾向が変化しているとのことが報告されています。
また4月に報道されたある事例では、779件の不正ログインのうち、94％は2回以内の試行でログインが成功したことから、あらかじめアカウントとパスワードの情報を持っていた可能性が高いとしています。

同社では、これらの事件の多発、高い不正ログオン成功確率の背景に、「ユーザのパスワードの使い回し」の影響を懸念しています。

実際に、同社が2012年に行った調査では、「ユーザ1人あたり、約14のパスワード設定が必要なサイトを使用」する一方で、「約70％の人が3種類以下のパスワードを複数のWebサイトで使いまわしている」といった結果が出ています。つまり、典型的なインターネットユーザは、14か所のアカウントに対して1～3種類のパスワードを使いまわしており、これは攻撃者があるユーザの1つのアカウントのパスワードを奪った場合、他の3～4か所でも同じパスワードが通用する、ということを意味します。

ユーザが行うべき対策の第一はパスワードポリシーの遵守です。
ただし、ポリシーを遵守することが大きな負担となり、結果的にポリシーが守られず被害が発生している現状を鑑みて、負担軽減とセキュリティ的な観点から、クラウド上に情報を記憶するようなアカウントの専用管理ツールの導入を記事では推奨しています。また、サービス提供者側に対しては、運営サービスが特定の IP から大量アクセスを受けていることに気づけるような監視の実現を推奨しています。

今回確認された不正ログインケースでは、6件中4件で特定 IP からの大量のアクセス、もしくはそれによるサーバの高負荷などの異変に気付いたことが、発覚の発端となっていたとのことです。