【ネット】@nifty、会員情報165件分が不正閲覧、使い回しパスワードが原因か

★@nifty、会員情報165件分が不正閲覧、使い回しパスワードが原因か
（2014/1/24 12:54）

ニフティ株式会社は24日、「@nifty」の会員向けに提供している「お客様情報一覧」ページで
不正ログイン事例が発生し、165件の会員情報が第三者に閲覧された可能性があると発表した。
該当者にはメールや電話で個別連絡を行い、パスワード再設定を求めていく。
また、不正ログイン対象IDかどうかチェックするためのツールをウェブサイトで公開した。

現時点では、ニフティ社内からのID・パスワード漏えいは確認されていない。このため、
第三者が他社サービスのID・パスワードを何らかの方法で入手し、@niftyのお客様情報一覧
ページでも使い回せるか手当たり次第に試行した可能性が考えられるという。この手口は、
一般的に“パスワードリスト攻撃”などと呼ばれる。

不正ログインは1月16日午前1時57分〜6時37分に行われた。不正ログインの発信元となる
IPアドレスは判明しており、すでにアクセスを遮断した。

不正ログインが成功してしまった場合、会員情報ページでは氏名、住所、電話番号、生年月日、
性別、秘密の質問、契約状況、利用料金、メールアドレスなどが閲覧された可能性がある。
クレジットカード情報は一部をマスキングしているため、決済手段としての不正転用は
できないとしている。

今回の不正ログインによる会員情報の改ざんや有料サービスの不正利用は、現時点では
確認されていない。

@nifty会員情報ページにおける不正ログイン事例は、2013年7月にも発生している。
この際は少なくとも2万1184件の会員情報が不正閲覧されたとみられる。ニフティでは、
二要素認証の導入、不正ログイン検知・遮断システムの強化などを今後進めるとしている。

http://internet.watch.impress.co.jp/docs/news/20140124_632249.html

ニダ

12月にYahooBBでもやられたが、Yahooはまったく発表しなかった。
niftyの方が対応はマシだった。

ミッフィー

そうなんだよ。１月１４日からフィッシングメールが舞い込み始めた。

>セゾン永久不滅ポイント<[email protected]>　１月１４日
>(注釈：スクエアエニックス） [email protected]　１月１８日
> 三菱東京UFJ銀行<[email protected]>　１月２３日

こいつら、みんなフィッシングメールで、パスワード入力を求めてくるものなんだけど、セゾンは文末に消し忘れた中国語が書いてあったｗ。
なんかニフティのメールアドレスが漏れているっぽい。

やめようと思うんだけど今どこがいいの？

UFJの偽物メールやらラインの釣りメールがわんさか来るんだが、
これはやられたって事かい

>>7
メールアドレスがどこぞから漏れただけじゃね？
メール内のＵＲＬにアクセスしてパスワード入力しなければ大丈夫じゃね。

>>5
自分は三菱東京UFJ銀行のだけ来た。YahooBBアドレス宛てだったが、
12月にやられたからだったのか。
Yahooアドレス宛てならあったがBBアドレスの方はあまりなかったんだが。

自分に来た文面は明らかに日本人じゃなくて笑った。
「2014年「三菱東京UFJ銀行」のシステムセキュリティのアップグレードのため、
貴様のアカウントの利用中止を避けるために、検証する必要があります。
以下のページより登録を続けてください。」

>>9
因みにセゾンからの釣りメールの末尾ｗ。
>＊誠に勝手ながら本メールは発信専用アドレスより配信しております。
> 本メールにご返信いただきましても、お答えすることができませんのでご了承ください。欲罢不能?。有的放矢萧洒

スクウェアが最初で次が東京三菱で次がドラクエ
やってないし取引してないしヤフアドだし

自分ニフティだけど来るのはgooメール

>>8
片っ端から迷惑メール処理してやった

チェックしてみたら、一応不正ログインされたIDではなかった
パスワードの文字列には工夫がいるな

いい加減パスワード以外の認証方法を実用化しろよ

三菱ＵＦＪの来たけど、宛先は、自分のメアドでは無い
（適当にアルファベットと数字並べて、まあ、２−３文字
共通性がある、ってくらい）のに、
nifty　web　mail　に入っていた。
適当なメアドでも、受信してしまうものなの？

>>15
niftyのメールアドレスって、オリジナルはniftyID(英字３文字＋数字５文字)なんだけど、
エイリアスというか、お好きな文字列に無料で変更できるので、変更したんじゃね？
変更しても、オリジナルのメールアドレス宛のメールは届くんじゃなかったかな？

おいおい、最古参に近い上客様だが、何のアナウンスもないぞ
信頼できないプロバイダーは辞めるわ

>>16
それが、オリジナルでも、好きな文字列に変えたメアドでも、どっちでも無いのよ。
オリジナルのと、少しかすってるかな？ってアドレスが「宛先」欄に入ってる。
三菱ＵＦＪの偽メールは、３通来たけど、３通とも、「宛先」が自分のアドレスと違うのに、届いている。
ｎｉｆｔｙ．ｃｏｍだけじゃ無くて、biglobe.ne.jp　とか　so-net.ne.jp　のも入ってる。
全ヘッダー表示　で見ると、そっちには自分のアドレスが出てくるけど、適当なアドレス入れると
どっか迂回して入るのかな？と思ったり。

三菱ＵＦＪの偽メール受け取った人、自分のも見てみてください。

>>10
ﾜﾛﾀ
中国語、これの意味はバイアグラ系かな？

>>18
自分もTOは全然関係ないアドレスだったのでメールのヘッダを見たら、
X-Apparently-Toというヘッダに自分のアドレスが書かれてた。
Toよりも、実際にはDelivered-ToかX-Apparently-Toのアドレスに届くらしい。

>>19
バイアグラじゃないみたい。
まぬけなＮＩＦＴＹ翻訳だと、
中国語（簡）では
>乗りかかった船か？。ねらいがあるのはあか抜けています
中国語（繁）だと
>…たいと思うか？できませんか？。ねらいがありますか？撒き散らします

>>18
BCC

>>20
ＴＨＸ
自分のも同じでした。

漏らしたつうと面倒だからパスがニテマシタてか

>>1
ニフティへのログインはここ10年ほど行っていないｗ
メールとか使わないしｗｗｗ

IDもパスワードも忘れてしまった

niftyのパスはnifty serveの登録以来一度も変えてないな…
これが漏れたら、自動的にniftyのサーバが割られた、という事になる。

パスワードをchinkoにしたら「※短すぎます」って表示されたでござる
http://twitter.com/uuuuusa/status/137326736173051904