ＪＲ東日本の共通ＩＤサービス「Ｍｙ ＪＲ－ＥＡＳＴ」で不正ログインの被害が出ている。１０日から１１日にかけて約２万１０００件が被害にあった上に、再開後の１３日にも再度攻撃され、４００件が被害にあっている。（ＩＴジャーナリスト・三上洋）
ＪＲ東日本の共通ＩＤサービス、１３日土曜に再び攻撃受ける
ＪＲ東日本の「Ｍｙ ＪＲ－ＥＡＳＴ」で約２万１０００件のアカウントが不正ログインされた事件で、１３日にも再び被害が出たことがわかった。
最初に攻撃が行われたのは、９月１０日午前２時５９分から１１ 日午前１０時５５分まで。約１１５２万件のアクセスがあり、そのうちの約２万１０００件がログインされてしまった。さらに１３日土曜日にも攻撃があり、 ４０万件のアクセスのうち、約４００件が不正ログインされている（１６日１９時、ＪＲ東日本広報部への取材による）。
時系列でまとめておこう。
・９月１２日にＪＲ東日本が「１０日から１１日にかけて１１５２万件試行（不正ログインしようとする攻撃）、２万１０００件不正ログイン」と発表。「Ｍｙ ＪＲ－ＥＡＳＴ」を一時停止させる
・９月１３日午前９時「Ｍｙ ＪＲ－ＥＡＳＴ」を再開
・９月１３日午後に、再び攻撃を受ける。約４０万件の試行があり、約４００万件が不正ログインされる。再び「Ｍｙ ＪＲ－ＥＡＳＴ」を一時停止
・９月１６日１３時に「Ｍｙ ＪＲ－ＥＡＳＴ」を再開
最初の被害で一時停止→再開したが、さらに攻撃され４００件が不正ログインされしまった。１６日１９時の時点でサービスを再開しているものの、パソコンからの新規登録などができないなどの障害が出ている。
被害の内容だが、ＪＲ東日本広報部によれば「不正ログインに 対してアクセス解析を行ったが、トップページのみしかアクセスしていなかった。トップページでは、利用者の氏名が『◯◯様』と表示されるため、氏名は閲覧 されているが、それ以外の情報へのアクセスはないと思われる」とコメントしている。
今のところ漏れているのは利用者の氏名だけで、他のアカウント情報や、クレジットカードなどの情報は漏れておらず、クレジットカードの不正利用も確認されていないとのことだ。
ただし該当のサービスの中には、クレジットカード情報を扱っ ているサービスもある。たとえば「Ｍｙ ＪＲ－ＥＡＳＴ」でログインできる「えきねっと」は、クレジットカードを登録する必要があるものだ。犯人側から見 ると、「えきねっと」でのクレジットカードでの不正な決済もできてしまうので、利用者は警戒する必要がある（実際にはトップページの閲覧のみでクレジット カード決済はされていないが、念のためにクレジットカードの利用明細書を確認する）。
ＪＲ東日本では、不正ログインされた約２万１０００人（１０日～１１日）、約４００人（１３日）のアカウントを利用停止にし、メールで個別に「パスワードを変更してください」と連絡をしている。該当する人は、必ずパスワードを変更しよう。
続発する不正ログイン攻撃
今回のＪＲ東日本のトラブルは、「サーバーに侵入される不正アクセスではなく、ユーザーのＩＤ・パスワードを使った不正ログイン」（ＪＲ東日本広報部）とのことで、いわゆる「パスワードリスト攻撃」もしくは「パスワードの総当たり攻撃」のどちらかと考えていいだろう。
パスワードリスト攻撃については、以前の記事「ＬＩＮＥ乗っ取りの原因、パスワードリスト攻撃とは」でも取り上げたように、利用者のＩＤとパスワード情報が漏れ、その一覧が裏市場で出回っていることが原因の一つだ。もう一つの原因は、ユーザーが同じパスワードを使いまわしていること。この二つによって不正ログイン被害が起きている。
最近起きた事件だけでも、以下のようなものがある。
●リクルート「ポンパレモール」
９月にリクルートの通販サイト「ポンパレモール」で、３万１６６０件の試行、そのうちの９７４９件が不正ログインされた。第三者に閲覧された可能性のある情報は、氏名、住所、電話番号、メールアドレス、予約、購入履歴など。
●ＪＲ東日本「Ｓｕｉｃａポイントクラブ」
８月にＪＲ東日本「Ｓｕｉｃａポイントクラブ」が被害に。３０万件の試行があり、そのうちの７５６件が不正ログインされた。
●無印良品
８月の無印良品の通販サイト「無印良品ネットストア」で４２０万件の試行、そのうちの２万９５７件が不正ログインされた。
この他にも、いまだに続くＬＩＮＥ乗っ取り、ｍｉｘｉやニコニコ動画などの不正ログインなど、パスワードリスト攻撃と思われるものが続いている。ＩＤとパスワードを使うサービスのほとんどが、何らかの不正ログイン攻撃を受けている状態だ。
この攻撃によって、氏名・利用履歴などの個人情報が漏れるほか、ポイントの不正利用や、場合によってはクレジットカードの不正利用も起きている。金銭的な被害に発展する可能性も高いので、我々ユーザーも対策を立てておく必要がある。
不正ログインの対策としては、以下の三つは絶対に欠かせないものだ。
１：すべてのサービスで別々のパスワードにする
パスワードの使い回しが最大の原因。パスワードは一つずつ異なるものにすること。とても手間がかかる作業だが、安全のためにはマストの対策だ。
２：より長く、複雑なパスワードにする
可能な限り８桁以上で、文字の種類も可能な限り多くする（大文字・小文字・記号・数字などの文字の種類）。
３：一覧表を作って安全管理、もしくはパスワード管理ソフトで
パスワードを覚えることは不可能なので、表計算ソフトで一覧表を作っておくか、パスワード管理ソフトを利用する（一覧表にはパスワードをかけ、そのパスワードだけは覚えておく）。
この三つはＰＣ・スマホのどちらでも、またＭａｃ・ Ｗｉｎｄｏｗｓどちらでも欠かせない重要な対策だ。ネット利用者全員が実行すべきことなので、今すぐ始めてほしい。これをしないままだと、不正ログインさ れ、個人情報漏れやポイントの不正利用などの被害にあう可能性が高いからだ。(三上洋)
http://www.yomiuri.co.jp/it/security/goshinjyutsu/20140917-OYT8T50049.html
