「じゃらん」でも不正ログインが発覚

今日のお昼過ぎ、じゃらん.net(リクルート)から「不正ログイン」のお知らせメールが届きました。



メール：【重要】じゃらんnetへの「なりすましログイン」に関するご報告とパスワード変更のお願い

Twitterで検索してもそれらしき書き込みがなく、ん？もしかしてフィッシングかなと一瞬思いましたが公式ＨＰでも告知されていました。念のためメールにリンクされているＵＲＬではなく「じゃらん」のトップページから辿ってパスワードを変更しました。

どうやら外部から不正に取得したIDとパスワードを使用して「じゃらん」に「なりすまし」の不正ログインがあったようです。
私のアカウントはその対象ＩＤということになっているようです。

つまり、パスワードは「じゃらん」から流出したものではなく、どこかで登録したIDとパスが「じゃらん」と同一だったということになります。

「じゃらん」は長らく使用していなかったのですが、ログインはメアド、パスワードは以前に使っていたままの状態で放置していました。
仮にaaa@bbb.co.jpというメアドで、eeeeというパスワードだったとしたら、この組み合わせでどこかに登録したものが、そのまま「じゃらん」で同一だった為に今回不正ログインされた・・・ということになります。
思いつく限りでは、この組み合わせで全く同一のものは、かなり前の楽天とか価格.comのどちらかでしかなかったはずです。以前の情報が漏れたのでしょうか？
他にもメアドでログインするサイトへ、aaa@bbb.co.jp+eeeeを使って軒並みアタックされてしまう危険性が高いです。

参照された可能性のある個人情報は、「名前・住所・電話番号(私は未登録)・メアド・予約履歴」のようです。

幸い、クレジットカード情報の漏洩は無いそうです。

8月7日現在、不正ログインの可能性があるIDは27,620件。「じゃらん」というイメージからするとかなり少ないように思います。それに不正ログインがあったのは２月と６月ということですが、他のサービスも含め私のアカウントはハッキングされたり改変されたような形跡はありませんでした。

念のため、このメアドをログインIDにしているサービスを見直しておきます。
Amazon
楽天
価格.com
DIMORA(パナソニックClub)
それとメアドではないけれど、一部のネットバンキングのパスワードを変更しておきました。
これ以外にも登録したサービスはありそうですが、正直、全部を把握できていません。
※追記
花キューピットがありました。変更済み。
ポイ探を退会しました。

そもそもメールアドレスってのは「公開」するのが前提なのに、それをログインIDに使用するサービスってのはどうなんでしょうかね。メアド自体は相手にお知らせするものだし、最近ではなんだかんだと人の個人情報を引っこ抜こうとするアプリやサービスが増えてきています。自分で気をつけていても結局はどなたかの電話帳から流出するのは防ぎようがありませんしね。
メアドでログインってのはもう止めておくべきでしょう。

それと、せっかくパスワードを変更したのですが、長らく使っていなかった「じゃらん」はもう退会することにしました。（今回はじゃらんから漏れたものではありませんが）

関連するサービスも一緒に退会となります。意外と広く連動していたのですね。


各サービスのポイントはゼロ、心置きなく退会できます（笑）

もし、今回の「じゃらん」不正アクセスが、本当にメアド+パスワードでログインされていたとすれば、やはり自分で登録したどこかのサービスから流出した可能性が極めて高いわけです。
もう使わなくなったサービスはきちんと処分しておくべきでしょうね。

ここ一連で続く不正ログイン、パスワード流出事件の中で、今回の案件は初めて自分も「対象者」となりました。パスワードの使いまわしは良くないと知りつつどこかで併用していることが多いのも事実。２段階認証など対策も進みつつありますが、やはり大事なアカウント以外は不用意に登録しないことが大切ですね。

今回の不正ログインは２月と６月ということですから、もし本当にログインされていたとしたら有名どころのほかのサービスでも不正アクセスされていた可能性がありますが、今のところはっきりとした被害はありません。もしかしたら「不正ログイン」の可能性だけだったのかも。

※今回は、自分のアカウントにログインできないという申し出から発覚したようです。つまり不正ログインされた方はパスワードを変更されてしまったわけです。
私は問題なくログインできました。これはアタックされただけでログインされなかったのか、ポイントが０だったので魅力無しだったのか・・・。

Yahoo,goo,nifty,OCN,Facebookにgmail・・・これ以上被害が広がっていないことを祈ります。

追記
ちょっと思いついたので書いておきます。
仮に、ログインに使っていたメアドaaa@bbb.co.jpのメールボックスが同じeeeeというパスであれば、まずこちらがハッキングされたでしょう。私は違うパスワードでしたからログインされてしまった可能性はまず無いと思います。

通常、各種サービスでログインパスなど会員情報を変更すると、登録してあるメールアドレス宛に「会員情報を変更しました」と通知されるので、ここを先に変更されてしまうと、あとは好き放題に手を入れられてしまいます。
メアドログインは今のところ仕方ないですが、パスワードだけは絶対にメールボックスと同じものを使わないようにしなくてはいけませんね。
そして・・・この追記を書いているとき、次はGREEがやられました！
私は利用していませんが、こちらもメアド+パスワードでログインのようです。同じアカウントを使って他サービスに登録してる人は急いで！ 

更に追記、不正アクセスの経緯が分かってきました。(8/9)
ＮＨＫニュース
ことし２月と６月、ＩＤとパスワードの入力を試す不正なアクセスが合わせて１３８万回繰り返されていたことが分かりました。
このうち２万８０００人分は実際にログインされ、名前や住所の個人情報のほかホテルの予約履歴などが外部に流出したおそれがあるということです。
さらにおよそ２６０人のＩＤは勝手に改ざんされていたことも分かりました。

私はやはり2万8000人の中に入るのだろうか。見られただけなんだろうか。ま、名前と不完全な住所だけなんだがやはり気味が悪いですね。