PHPの脆弱性（php2shell）で多くのサイトが止まった10月21日前後と同じ時期に、不正アクセスによるサービス停止や個人情報の流出の発表も相次いでいます。
両者は混同されがちですが、ここ1か月の流出事案の大半は、PHPの脆弱性が公表された10月21日より前に起きたものです。PHPが原因と発表された国内の不正アクセスは1件ありましたが、翌日に「原因はPHPではなかった」と訂正されました。
この記事では、何が起きているのか、どんな手口なのか、そしてサービスを使っている側が何をすればいいのかをまとめます。
この記事は10月24日時点で確認できた各社の発表と報道にもとづきます。件数の多くは「流出した可能性がある最大件数」で、調査が進むと変わります。
| 発表日 | 組織・サービス | 内容 |
|---|---|---|
| 10月23日 | 佐川急便（お荷物問い合わせサービス） | 6月21日〜9月30日の送り主と届け先の氏名・住所・電話番号、最大約5323万件が流出した可能性。同じ人が複数回数えられており、実人数ではない。サービスは23日に再開 |
| 10月22日 | カプコン（CAPCOM ID） | メールアドレスとログイン履歴など11,774,247件（世界合計）。196件はパスワードが不正に変更された（リセット済み）。クレジットカード情報は対象外 |
| 10月22日 | デジタル庁 | ホームページの一部に使っていたStudioへの不正アクセスにより、問い合わせフォームに入力された氏名・メールアドレスなど最大約1万3千件が漏えいした可能性 |
| 10月21日 | リクルート（カーセンサーnet、C-MATCH） | 問い合わせ利用者など最大370万9,551件が漏えいした可能性。10月17日から関連サービスを停止。同社のシステムを使う日産自動車と三菱自動車も中古車検索サイトを停止 |
| 10月21日 | ラクス（ブラストメール） | 不審なアクセスを検知し、21日0時30分からメール配信サービスを緊急停止 |
| 10月21日 | イオン | グループ各社の一部のWebサイトで不正アクセスを検知。13社に関連するサイトが閲覧できない状態と報じられている。ECサイトへの影響はないとし、流出の有無は調査中 |
| 10月21日 | GMOインターネット（お名前.com デスクトップクラウド） | 最大26,739台の仮想サーバーを停止 |
| 10月20日 | NEC（委託先経由） | 顧客のサーバーのファイルが暗号化され、システムが停止 |
| 発表日 | 組織・サービス | 内容 |
|---|---|---|
| 10月19日 | 阪急阪神百貨店・エイチ・ツー・オー リテイリング | 予約サイトと通販2サイトを停止。「H2O ID」約126万件が漏えい |
| 10月19日 | ユミルリンク（メール配信システム Cuenote FC） | 専用ASPの5システムに侵入され、メールアドレスを含む延べ約900万件が持ち出された |
| 10月16日 | Eストアー（ショップサーブ） | 約2,335万人が対象（最終報）。うち約209万人分はカード番号の一部と有効期限を含む |
| 10月16日 | 日本経済新聞社 | 開発用クラウドの認証情報を盗まれ、個人情報約183万件が漏えい |
| 10月15日 | ソースネクスト | 会員情報を取得するAPIを不正に使われ、パスワードを含む最大2,251万9,960件が流出した可能性 |
| 10月15日 | バーガーキング公式アプリ | 会員情報約1,118万件が漏えい |
| 10月15日 | コミックシーモア | 電子書籍ストアを停止。会員のメールアドレスなどが流出（件数は精査中） |
| 10月13日 | 銀のさら・釜寅など（ライドオンエクスプレスHD） | 利用していたサーバーの運営会社がランサムウェア被害。最大約650万件。公式サイトとアプリからの注文を停止 |
| 10月9日 | skyticket | 3つの別経路から不正アクセス。顧客情報最大約1,464万件、カード情報最大6,140名分 |
| 10月9日 | ブックオフ | 会員データ642万7,735件が漏えい |
| 10月9日 | バイトル | 会員のメールアドレス最大388万5,771件が漏えいした可能性 |
| 10月8日 | ローソン | 会員情報の表示の仕組みを悪用され、ローソンID 2,155,345件が漏えい |
| 10月7日 | IDCフロンティア（IDCFクラウド） | ランサムウェアでクラウドの一部が停止し、495の企業・自治体に影響。その後、外部へのデータ流出はなかったと判断 |
| 10月5日 | 焼肉きんぐ公式アプリ | 会員情報1,078万8,963件が流出 |
| 9月29日 | ヤマト運輸（クロネコ代金後払い） | サービスを停止（10月9日再開）。利用者情報約526万件などが持ち出された |
| 9月25日 | タイムズカー | 会員情報最大約660万アカウント、本人確認書類の画像約160万件 |
このほかにも、Joshin、ゲオ・セカンドストリート、Renta!、SONICWIRE、メドレー、エムスリー、京王電鉄グループ、大阪公立大学などで停止や流出が発表されています。
現時点で、PHPの脆弱性が原因と確認された流出事案はありません。
ただし、時期が重なったことで「どのサービスが止まったのか」「なぜ止まったのか」が見えにくくなっています。止まったサービスの理由は、そのサービスの公式発表で確かめてください。
PHPの脆弱性そのものの状況は、こちらの記事にまとめています。
JPCERT/CCの注意喚起は、すべての事案が同じ手口ではないと断ったうえで、次の5つの類型を挙げています。
| 類型 | 内容 |
|---|---|
| A | さまざまな既知の脆弱性を探して攻撃する。管理の甘い機器から設定ファイルやバックアップを盗もうとする |
| B | スマホアプリを解析して、裏側のAPI（データをやりとりする窓口）を直接攻撃する。画面の操作ではできない処理を呼び出して権限を変えたり、アカウントを作ったりする。他のシステムから盗んだAPIキーを使う例もある |
| C | BIツール「Metabase」のSQLインジェクションの脆弱性を悪用する |
| D | Webサーバーの奥にあるアプリケーションサーバーに、不正なプログラム（Webシェル）を置く |
| E | AIを使ったペネトレーションテスト（侵入テスト）用のツールを悪用して、公開されているWebアプリの弱点を探す（10月23日に追加） |
飲食チェーンや小売の公式アプリ、会員サービスでの大規模な流出が続いているのは、類型Bの「アプリの裏側のAPIを狙う」手口と重なります。
最近の事案のもう一つの特徴は、委託先やクラウド事業者が攻撃され、そこを使っていた多くの会社に被害が広がることです。
そのため、直接登録した覚えのない会社から「あなたの情報が流出した可能性があります」というお知らせが届くことがあります。それが本物か詐欺かは、次の章の方法で見分けてください。
流出は利用者の側では防げません。できるのは、流出した情報を悪用されないようにすることです。
一番効果があるのはこれです。どこか1か所からメールアドレスとパスワードが漏れると、攻撃者は同じ組み合わせで他のサービスにもログインを試みます。
「流出したサービスのパスワードだけ変える」のでは足りません。使い回していた先をすべて変えてください。
流出の対象になったかどうかは、各社の公式サイトのお知らせで確認できます。届いたメールやSMSのリンクからではなく、公式アプリか、自分で検索・ブックマークした公式サイトから開いてください。
今回流出したのは、主に氏名、住所、電話番号、メールアドレス、購入や予約の履歴です。これらがそろうと、本物らしく見える詐欺メールやSMSが作れます。
本名や住所、実際に使ったサービス名が書かれていても、本物とは限りません。 流出した情報がそのまま使われている可能性があります。
カード情報の一部が対象になった事案（ショップサーブ、skyticketなど）もあります。
停止中のサービスの再開時期、ポイントや予約の扱いは、各社の公式サイトや公式SNSで確認してください。「再開しました、こちらからログインを」というメールが来ても、リンクから開かないでください。
JPCERT/CCは、次の対策を勧めています。
PHPを使っている場合は、PHPの更新も別途必要です。
| 論点 | 状況 |
|---|---|
| 一連の事案が同じ攻撃者によるものか | 不明。JPCERT/CCは、共通する一つの脆弱性ではなく、複数の手口があるとしている |
| 実際に流出した人数 | 多くの事案で「可能性がある最大件数」の段階。重複も多い |
| 流出した情報の悪用 | 多くの会社が、現時点で不正利用は確認されていないとしている |
| PHPの脆弱性との関係 | 原因と確認された事案はない |
PHPの脆弱性「php2shell」の最新状況（総理の呼びかけから50時間）
PHPの脆弱性、サイト運営者向けの詳しい対応手順（25時間時点） ---