日本郵政「ゆうID」不正ログイン、他社で流出したパスワード使うリスト攻撃か……2段階認証必須に

何が起きたのか

日本郵政は10月19日、ゆうIDの249アカウントで個人情報が漏えいした可能性があると発表しました。攻撃者は、社外で漏えいしたIDとパスワードのリストを使いました。ゆうIDの会員になりすまして、「ゆうゆうポイント」公式サイトにログインしたということです。日本郵政は10月16日にこのサイトを停止しました。10月20日からは、ゆうIDへのログインに2段階認証が必須になります。

主な数字と事実

• 影響を受けたアカウントは249件です。
• 見られた可能性がある情報は、氏名、住所、生年月日、性別、電話番号、メールアドレスです。
• 1件のアカウントでは、保存していた住所情報83件が取得された可能性があります。
• 不審なアクセスを検知したのは10月15日です。
• 日本郵政は、自社システムからの情報漏えいは現時点で確認していないとしています。

背景

多くの人が、複数のサイトで同じIDとパスワードを使っています。ひとつのサイトから漏えいすると、攻撃者は同じ組み合わせを別のサイトで試せます。この攻撃を「リスト型攻撃」と呼びます。2段階認証は、パスワードに加えて、スマホに届くコードなどの第2の確認を求める仕組みです。

なぜ重要か

大きなサービスでも、パスワードの使い回しには危険があることを示しています。利用者はパスワードを変え、パスキー（パスワードを入力せずにログインできる仕組み）を設定し、2段階認証をオンにすることが大切です。日本郵政は、影響を受けた利用者に電話で連絡し、パスワードの再設定を依頼するとしています。

今後の注目点

• 日本郵政が、影響を受けるアカウントをさらに見つけるかどうか
• 「ゆうゆうポイント」サイトがいつ再開するか
• どれだけの利用者がパスキーや2段階認証に切り替えるか
• 9月29日に公表された郵便局アプリへの不正アクセスと関係があるかどうか