6日の不正アクセスを12日付で告知
Qoo10の運営者は11月12日付の告知で、6日に外部の第三者が同社システムへ不正アクセスし、一部の個人情報が閲覧されたと説明した。通常の取引で取得した情報や、利用者が自ら提供した情報が含まれるとしている。今回確認した告知は調査を継続中とし、影響人数や個別アカウントごとの項目は示していない。13日のITmedia NEWSもこの発表を報じた。事件の発生日と、告知・報道が出た日を取り違えないことが重要だ。
住所の地理座標や任意入力の情報にも言及
対象となる可能性のある情報には、氏名、連絡先、生年月日、住所・配送先住所に加え、住所の地理座標、プロフィール、任意に入力した身体的特徴、IPアドレス、個人メモ、サイト内ポイント残高などが挙げられた。地理座標は場所を数値で表す情報だ。一方、決済情報やパスワードが漏えいした証拠は現時点で確認していないという。この一覧は全利用者の全項目が閲覧されたという確定発表ではなく、調査対象の可能性を含む。
認証トークンの無効化とログアウトを実施
同社は不正アクセスを検知後に遮断し、不正に発行または利用された可能性のある認証トークンをすべて無効化したと説明する。認証トークンは、サービスが利用者の認証状態を扱うための情報だ。影響を受けた可能性のあるアカウントは強制ログアウトさせたという。編集上は、これは被害拡大を防ぐための対策であり、すでに閲覧された情報が回収されたことや、詳細調査が終わったことを意味しないと整理できる。
不審な連絡と、今後の調査結果を分けて確認
公式告知は二次被害として、第三者によるなりすましや不審な電話、SMS、メールなどが起きるおそれを挙げる。送信元を確認できないメッセージのリンクへアクセスしないよう求め、利用者と出店者それぞれの相談窓口も案内した。今後確認すべきなのは、調査による対象範囲の確定や追加対策の発表だ。現時点で二次被害が何件発生したかは確認できず、個別の連絡が今回の不正アクセスに由来するとも一律には断定できない。