Security NEXTでは、最新の情報セキュリティに関するニュースを日刊でお届けしています。

「eBookJapan」で不正ログイン被害 、他所で漏洩したIDとPWを利用か - ログイン試行2回以下が9割

電子書籍販売サイト「eBookJapan」において、779アカウントが、本来の利用者以外から不正にログインされていたことがわかった。同社ではアカウント情報の漏洩を否定しており、攻撃者が他所で不正に取得したIDやパスワードを利用し、アクセスを試みた可能性がある。

同サイトを運営するイーブックイニシアティブジャパンによれば、同サイトのログインページに対し、複数のIPアドレスから機械的にログインを試みる攻撃を受けたもので、4月5日10時半ごろ、サーバに高い負荷がかかっていたことから攻撃に気が付いたという。

4月以降に不正ログインが発生していたのは779アカウント。一部アカウントでは、氏名や住所、生年月日、メールアドレス、パスワードなどが登録されている会員情報ページが閲覧された可能性がある。さらにクレジットカード番号が表示される決済代行会社のページへ遷移したり、口座番号が記載された楽天銀行の決済ページが表示されたおそれもある。

20130409_ej_001.jpg
イーブックイニシアティブジャパンが公表した不正ログインの試行回数。失敗回数を極力少なく抑えていた

不正なログインが発生した779アカウントのうち、386件は最初のアクセスで正しいIDやパスワードの入力に成功しており、347件についても2度目の試行でログインに成功。また不正ログインされたアカウントは、いずれも最大5回以内にログインされていた。

一方で不正ログインに失敗したIDは、1431件にのぼるが、そのうち1327件については、1回の試行で攻撃を断念。72件についてもわずか2回で攻撃を中止しており、最大でも9回だった。攻撃の発覚をおそれ、試行回数を抑えていた可能性もある。

同社サイト経由で、IDやパスワードが漏洩した形跡は確認されておらず、同社では、同社以外のサービスから不正に取得されたIDやパスワードが今回の不正アクセスに利用され、使い回しが行われていたアカウントで不正ログインが成功した可能性が高いと説明している。

同社では攻撃を検知後、攻撃元となるIPアドレスからのアクセスをブロックするとともに、同一IPアドレスによる複数ユーザーのログインに対してアクセス制限を実施。不審なIPからログインされたアカウントのパスワードを初期化し、ユーザーに対してパスワードの再設定を依頼したほか、銀行引き落としページでは、口座番号表示を中止した。

今後は、クレジットカード会社や決済代行会社と連携して金銭被害の防止を進めるほか、原因究明や再発防止に取り組む。

(Security NEXT - 2013/04/09 ) このエントリーをはてなブックマークに追加

PR

関連記事

フジテレビのチケットサイトで不正ログイン - 一部で不正購入も
セシール通販サイトに再度不正ログイン - ポイント不正交換や情報改ざんが発生
東ガスの料金照会サイトに再度PWリスト攻撃 - ポイント交換被害も
会員サイトへPWリスト攻撃、一部改でざんやポイント使用 - ロート製薬
金融機関職員装い電話でワンタイムパスワードを聞き出す詐欺 - 情報収集のケースも
東京ガスの料金照会サイトにPWリスト攻撃 - 10万回超のログイン試行
Pマーク事業者の個人情報関連事故、2016年度は843組織2044件
PWリスト攻撃で顧客情報改ざん、第三者クレカ情報が不正登録
ディノス・セシール、再度パスワードリスト攻撃を検知
わずか1分11回のみの不正ログイン攻撃受ける - ディノス・セシールが公表