コミュニティサービス「Commune」に不正アクセス。約30.7万人の会員情報が漏えい、マツダの会員サイトも

01発表されている事実

1. 10月5日 18時ごろ

   第三者による不正アクセスが始まる

2. 10月6日

   検知し、通信遮断と防御措置。21時ごろから全コミュニティをメンテナンスモードに

3. 10月7日

   メンテナンス中に残っていた通信経路から不正な会員登録と閲覧が一部で発生。14時58分に遮断

4. 10月8日 12時ごろ

   再開を希望したコミュニティから順次再開

5. 10月9日

   公表

6. 10月14日

   マツダが「CLUB MAZDA COMMUNITY」への影響を公表（最大4,103名分）

コミューンによると、攻撃者は同社システムの不備を突きました。非公開コミュニティの招待リンクを不正に取得して一般会員として登録したほか、管理者になりすまして会員情報の閲覧・取得やデータの上書きを行ったとしています。契約企業の設定や運用が原因ではないと説明しています。

• メールアドレスを含む情報が漏えいした会員：約12.6万人（うち同社従業員・テスト用デモアカウント合計約4.2万人）
• メールアドレスを含まない情報（表示名、自己紹介、非公開グループの所属等）が漏えいした会員：約18.1万人
• 会員間のダイレクトメッセージとパスワードの漏えいは確認されていない。決済情報は保持していない

マツダの発表では、閲覧・取得された可能性がある項目は会員ID、アカウント名、メールアドレス、性別、居住地（都道府県）、購買・利用状況履歴、趣味・嗜好・アンケート回答です。クレジットカード情報は含まれず、マツダのシステムへの影響は確認されていないとしています。

02読者への影響

Communeは、メーカーやサービスが自社のファンや利用者を集める場として使われています。自分では「マツダのサイト」「あのブランドの会員サイト」に登録したつもりでも、裏側はCommuneという例があります。趣味やアンケートの回答は、相手の好みに合わせた本物らしい偽メールの材料になります。

コミュニティを運営する会社にとっては、自社のサーバーとは別の場所で起きた事故でも、会員への説明と個人情報保護委員会への報告が必要になります。コミューンは、契約企業の報告に必要な情報を提供しているとしています。

03今すぐやること

1. 企業やブランドのコミュニティサイトに登録している人は、運営元からの個別の案内を確かめる。安全のため全会員がログアウトされているので、再開後にログインし直す
2. 仮パスワードに変えられた144名は、ログイン画面の「パスワードを忘れた場合」から再設定する。コミューンによると仮パスワードは失効済み
3. 同じパスワードをほかのサービスでも使っているなら、別々のものに変える
4. コミュニティの名前を出すメールやSMSは、リンクを開かずに削除する。コミューンはメールや電話でパスワードを尋ねることはないとしている

04招待リンクと管理者権限を守るには

今回は「招待リンクを知っていれば入れる」「管理者になりすませる」という仕組みの穴が使われました。会員サイトや社内コミュニティを外部サービスで運営している会社は、招待リンクに有効期限があるか、管理者の操作の記録を見られるか、管理者アカウントに二段階認証を設定できるかを確かめてください。図鑑では、Webサービスの仕組みの穴を探す脆弱性診断の会社を比べられます。

05今後の発表

コミューンは、データを10月6日18時時点に巻き戻しており、投稿は巻き戻す前のデータから復元する準備を進めています。ダイレクトメッセージ、いいね・リアクション、新規登録は復元の対象外となる見込みです。電気通信事業者として総務省へ報告し、新たな事実は同じページで公表するとしています。