Security NEXTでは、最新の情報セキュリティに関するニュースを日刊でお届けしています。

リスト用いたなりすましの会員登録申請が発生 - フフルル

後払い決済サービス「NP後払い」のポイント付与サービス「フフルル」において、本人以外の第三者が勝手にメールアドレスを使用し、会員登録を申請するリスト型攻撃が行われたことがわかった。

同サービスを運営するネットプロテクションズによれば、5月31日23時から6月2日19時半ごろにかけて、本人以外の第三者が他人のメールアドレスを勝手に使用し、同サービスへの会員登録を申請する行為を複数確認したという。

会員登録が申請されると、入力されたメールアドレスへ同サービスより「仮会員登録完了メール」が送信されるという。

同社は、今回不正行為を行った発信元のIPアドレスを特定できているとして、アクセスを遮断。同社経由の情報漏洩は確認されておらず、会員登録に利用されたメールアドレスは、他社から流出したリストである可能性が高いと説明している。

同社は取材に対し、不正行為の回数や発信された「仮会員登録完了メール」の件数、アクセス元の地域などについてはコメントを避けた。

また新規登録の機能を悪用して流出リストから登録ユーザーのIDをスクリーニングし、それらリストを用いたパスワードリスト攻撃が他社で確認されているが、そのような攻撃の痕跡は確認されていないとしている。

同社は、「仮会員登録完了メール」を受信しても、メール内のURLから手続きを進めないかぎり、会員登録されることはないとしており、身に覚えのないメールを受信した場合は、破棄するよう呼びかけている。

今回の問題を受けて同社では、会員登録のページにボットであるか確認する認証システムを追加。その後不正行為は確認されていないとしている。

(Security NEXT - 2018/06/15 ) このエントリーをはてなブックマークに追加

PR

関連記事

日東製網、四半期決算を延期 - ランサムウェア被害の影響で
愛知県選管のXアカウントが乗っ取り被害 - フォロー解除を呼びかけ
PFU、不正接続防止ツールを機能強化 - 「有線LANアダプタ」の使い回しにも対応
浦和レッズの公式Facebookアカウントが一時乗っ取り被害
MKシステムがランサム感染 - 人事労務サービスで障害
メタップスPの「Pマーク」取消 - PCI DSS準拠でサービスは再開へ
国と都が共同運用する開業支援施設で情報流出か - 詳細を調査
約800自治体が採用する電子申請のヘルプデスクがEmotet感染
勤怠システムがランサム被害、総当たり攻撃で侵入か - ヴィアックス
Emotet感染でメール約85万件が流出した可能性 - JP-AC