Webサービスの個人情報漏洩とその影響、やるべきこと

相変わらず色々なWebサービスから個人情報の漏洩のニュースが散見されますね。
最近もFacebookが社内でfacebookの利用者数億人分のパスワードが
閲覧可能な状態だったとニュースに報道されました。
なぜこのような運用になっていたのか謎ですが
外部に流出した形跡がないだけましだったかもしれません。

情報の流出に慣れっこになってしまった方も多いかもしれませんが
発生から2か月経っている「宅ふぁいる便」の個人情報漏洩＆サービス休止はまだまだ皆様に大きな影響を与えているようです。
最近はメールで10MB程度の添付ファイルがやり取りできることも多いですが
業種によってはこの種のWebサービスはどうしても使わざるを得ない方も多いと思います。
一方で「ヤバいのは分かったけれどじゃあ何をしたらいいのか」という問い合わせもいまだにいただきます。
こちら、影響が大きいので今更ながらちょっとこの件に関してまとめました。

↓PCトラブルなど社内IT環境にお困りなら↓

情報漏洩の対策（結論）

同じメールアドレスとパスワードを使っている他のネットサービスで早急なパスワード変更を実施ください。
過去に一度でも登録した可能性がある方はどのネットサービスを使っているのか
忘れてしまった方も多いかもしれませんが・・・

↓PCトラブルなど社内IT環境にお困りなら↓

個人情報漏洩の経緯

2019年1月25日に大阪ガスの子会社「オージス総研」が運営するファイル転送サービス
「宅ふぁいる便」の顧客データおよそ480万件が流出したとの事案が発生しました。
無料でも使えて便利な老舗のサービスですので使っている方は多いと思います。
ここで問題になるのは流出した情報の中身で様々（郵便番号や生年月日など）ですが、
一番の問題は「メールアドレスとパスワード」も『そのまま』流出している点です。
通常のWebサービスだと「パスワード」などは暗号化され、
情報流出してもパスワードが分からないように対策します。
このようにしておけば情報流出しても他の人がログインできることはありません。
しかし、今回、オージス総研ではその対策を取っていなかったどころか、
なんとパスワードが平文（入力されたまま）で流出しました。

※オージス総研による報告のページについて

「宅ふぁいる便」サービスにおける不正アクセスについて　～お客さま情報の漏洩について（お詫びとご報告）～ | オージス総研

オージス総研が運営するファイル転送サービス「宅ふぁいる便」において、サービス休止のご報告と今後の対応をご説明しております。｜Daigasグループであるオージス総研のWebサイトです。オージス総研が提供している製品・サービス、研修、イベント・...

bit.ly

↓PCトラブルなど社内IT環境にお困りなら↓

これはどのような問題？

他のネットサービスで同じ「メールアドレスとパスワード」を使っている場合は
乗っ取られて成りすまされる可能性が非常に高いです。
会社などでは各ネットサービスのアカウントやメールのアカウントなどを
同一のものにしている方は実は非常に多いですよね。

↓PCトラブルなど社内IT環境にお困りなら↓

防止策

個人レベルで出来ることとして2段階認証の登録やパスワード管理ツールの利用があります。
法人向けでは最近は「IDaaS」というサービスが出てきています。

携帯電話やメールも使う2段階認証

最近は多くのWebサービスで「2段階認証」を設定できるようになりました。
ログインしようとメールアドレスとパスワードを入力しても
携帯電話で確認したりメールで確認しないと実際にログイン出来なくなるため情報流出に強くなります。

パスワードを一元管理できるパスワード管理ツール

またパスワード管理ツールを使うとパスワードを一元的に管理できるようになります。
「1password（Webサービスのみ）」や「roboform（インストールしたソフトも管理可能）」などが有名ですが他にもたくさんあります。

クラウドでパスワード管理できるIDaaS

IDaaSは業務で使うログインが必要な全てのサービスを1つのサービスで管理できるようにするものです。
社内のファイル共有はもちろん外部のスケジュールサービスなども含まれます。
もしご興味ありましたらお気軽にご連絡ください。

↓PCトラブルなど社内IT環境にお困りなら↓

どうしても上手くいかない時は

インターネットで検索して色々な方法を試してみたけど上手くいかない場合はとげおネットまでお気軽にご相談ください。出張サポートにてお力になることが可能です。

最後に参考情報

自分のメールアドレスがどのWebサービスから漏れたことがあるかを調べられるようなWebサービスもあります。
ここに登録されているWebサービスはほとんどが英語圏のもので
日本語圏のWebサービスは少ないのでご参考程度にしていただきたいですが
私のメールアドレスも残念ながらいろいろなところから流出しておりました。。。

Have I Been Pwned: Check if your email address has been exposed in a data breach

Have I Been Pwned allows you to check whether your email address has been exposed in a data breach.

haveibeenpwned.com

※リンク先のサイトは英語です。

以上、ご参考になりましたら幸いです。

関連記事