ソースネクスト、パスワードなぜ平文で流出 「暗号化していたが、鍵にアクセスできるシステムに侵入された」

何が起きたのか

ソースネクストの会員情報取得APIが攻撃を受けました。氏名や住所、パスワードなどが漏れました。同社は、パスワードは暗号化して保存していたと説明しています。しかし、暗号を解くための鍵にアクセスできるシステムに侵入され、パスワードが読める状態で盗まれたことを確認しました。

数字で見ると

• 漏えいした件数は最大約2252万件です。
• 同社は全顧客のパスワードを強制リセットし、再設定を求めています。
• 同社は15日付の発表で、この件を知らせました。
• 暗号を解く鍵そのものは流出していないと説明しています。

パスワードの「暗号化」と「ハッシュ化」

パスワードを守る方法には、暗号化やハッシュ化があります。暗号化は、鍵があれば元に戻せる方法です。ハッシュ化は、元に戻せない形に変える方法です。今回は、古い仕組みを使い続けていて、新しいハッシュ化の方法に移れていなかったと同社は説明しています。

なぜ大切なのか

パスワードが読める形で盗まれると、他のサービスでも悪用されるおそれがあります。同じパスワードを使い回している人は特に注意が必要です。一方で、同社は対策の詳しい内容を明かしていません。そのため、利用者は本当に安全になったのか確かめにくい状態です。

今後注目したいこと

• 同社が再設定後のパスワードをどう管理するか。
• 捜査や調査の結果、どこまで被害が広がったか。
• 同社が再発防止策をどこまで公表するか。