Security NEXTでは、最新の情報セキュリティに関するニュースを日刊でお届けしています。

リスト用いたなりすましの会員登録申請が発生 - フフルル

後払い決済サービス「NP後払い」のポイント付与サービス「フフルル」において、本人以外の第三者が勝手にメールアドレスを使用し、会員登録を申請するリスト型攻撃が行われたことがわかった。

同サービスを運営するネットプロテクションズによれば、5月31日23時から6月2日19時半ごろにかけて、本人以外の第三者が他人のメールアドレスを勝手に使用し、同サービスへの会員登録を申請する行為を複数確認したという。

会員登録が申請されると、入力されたメールアドレスへ同サービスより「仮会員登録完了メール」が送信されるという。

同社は、今回不正行為を行った発信元のIPアドレスを特定できているとして、アクセスを遮断。同社経由の情報漏洩は確認されておらず、会員登録に利用されたメールアドレスは、他社から流出したリストである可能性が高いと説明している。

同社は取材に対し、不正行為の回数や発信された「仮会員登録完了メール」の件数、アクセス元の地域などについてはコメントを避けた。

また新規登録の機能を悪用して流出リストから登録ユーザーのIDをスクリーニングし、それらリストを用いたパスワードリスト攻撃が他社で確認されているが、そのような攻撃の痕跡は確認されていないとしている。

同社は、「仮会員登録完了メール」を受信しても、メール内のURLから手続きを進めないかぎり、会員登録されることはないとしており、身に覚えのないメールを受信した場合は、破棄するよう呼びかけている。

今回の問題を受けて同社では、会員登録のページにボットであるか確認する認証システムを追加。その後不正行為は確認されていないとしている。

(Security NEXT - 2018/06/15 ) このエントリーをはてなブックマークに追加

PR

関連記事

なりすまし仮会員登録、約7時間に約29万件 - サンドラッグ
AWS利用のスタートアップ企業に「Deep Security」を1年感無料で - トレンド
パスワードリスト攻撃の事前スクリーニング、大胆なその手口
「セシール」不正ログイン、攻撃リストの顧客ID合致は事前抽出が原因 - 情報流出を否定
攻撃者がメール転送設定を変更、受信した個人情報が外部に - 立命館大
不正送金NEMを補償、一部仮想通貨の出金なども再開 - コインチェック
コインチェック、業務改善報告書を金融庁へ提出
アンケートサイトで不正ログイン被害 - ポイント狙いの犯行
日立電線、認証アプライアンスに新版 - ログ製品と連携機能を追加
石油連盟がセキュリティ強化策 - 専用室で独立管理など