Security NEXTでは、最新の情報セキュリティに関するニュースを日刊でお届けしています。

LINEにPWリスト攻撃 - 2段階認証未適用の問合フォームが標的に

LINEは、2段階認証が適用されていない問い合わせフォームがパスワードリスト攻撃を受けて一部ユーザーがログインされ、電話番号やユーザー識別子などを取得された可能性があることを明らかにした。

同社が用意した問い合わせフォームに対して2020年10月3日より不正ログインの試行を受けていたもの。2021年1月19日に試行を検知した。

攻撃を受けた問い合わせフォームは、2段階認証が適用されておらず、IDとして利用するメールアドレスとパスワードだけでログインできる状態で、攻撃を通じて3035件のユーザーがログインを許した可能性がある。2888件が国内のユーザーで、「台湾(21件)」や「タイ(3件)」のほか、123件の国外ユーザーなども被害にあった。

ログインを許した場合、IDやパスワードの有効性を把握された可能性があるほか、HTMLフォーム内に電話番号、ユーザー識別子が埋め込まれる仕様だったため、これら情報も窃取された可能性がある。

同社は、不正ログインを受けた可能性があるユーザーに対してパスワードの初期化を実施。被害など確認した場合は同社まで連絡するよう注意を喚起した。

問題の問い合わせフォームについては、フォーム内にユーザー情報を埋め込まない仕様へと変更。2月8日11時ごろより2段階認証の適用を開始している。

(Security NEXT - 2021/02/12 ) このエントリーをはてなブックマークに追加

関連リンク

PR

関連記事

「CloudGuard」にウェブアプリやAPI保護機能を追加 - チェック・ポイント
「マイナビ転職」にPWリスト攻撃 - 履歴書21万人分に不正ログイン
PWリスト攻撃が約10万回、約1500件が実在し半数超でログイン許す - ヌーラボ
セシール通販サイトに33件のPWリスト攻撃 - アカウント1件がログイン許す
動画サービス「Hulu」に断続的なPWリスト攻撃
決済サービス連携で2017年7月以降380件約6000万円の被害申告 - ゆうちょ銀
JR九州の会員サイトにPWリスト攻撃 - ポイント交換被害も
岡三オンライン証券にPWリスト攻撃 - 資産売却や出金被害は未確認
LINE利用者のパスワード約7.4万件が特定 - ログイン連携サービスにPWリスト攻撃
SBI証券で偽口座宛に約1億円の不正出金 - PWリスト攻撃増加、警戒中に発覚