オンラインの不正ログインの対応
昨今、オンラインサービスに対する不正アクセスの事例がよくあがっています。その後の対応において、適切な事例として情報共有させて頂きたいと思います。
■不正事象の内容
5月10日のニュースリリースでご報告した内容から変更はございません。
1.不正ログインにより一部のお客様が所有する「トク刷るポイント」が第三者により換金性の高い別のポイントに交換され、取得された。
2.不正ログインにより一部のお客様が登録した登録情報が一時的に、不正にログインした第三者によって閲覧できる状態にあった。
■原因
外部の専門機関の協力を得て調査を行った結果、第三者がブラザー以外から不正に入手したID（メールアドレス）とパスワードの組み合わせリストを利用した、不正プログラムによる「リスト型攻撃（リスト型アカウントハッキング）※1」と判断しました。
※1：リスト型攻撃（リスト型アカウントハッキング）とは、何らかの手段により他者のID・パスワードを入手した第三者が、これらのID・パスワードをリストのように用いて様々なサイトにログインを試みることで、個人情報の閲覧等を行うサイバー攻撃です。
■調査結果について
1.第三者に対し、ブラザーの管理システム（サーバー）からお客様のログイン情報（メールアドレスおよびパスワード）は漏えいしていないことが確認されました。
2.第三者に対し、ブラザーの管理システム（サーバー）からお客様の登録情報（お名前、ご住所、お電話番号など）は漏えいしていないことが確認されました。
3.不正と判断されるアクセスが集中した時間に不正プログラム※2が使用されたことが確認されました。なお、不正プログラム※2によるお客様の登録情報は漏えいしていないことが確認されました。
※２：ボットなどのインターネット上で、自動化されたタスクを実行するアプリケーションソフトウェア
■再発防止策について
以下を主要な再発防止策として実施しました。同様の事態の再発を防ぐために、システム面と運用面でさらなるセキュリティの強化を図ってまいります。
1.ブラザーオンラインのサーバーに対する不正の対策および監視を強化しました。
2.ログイン時における不正プログラム対策を実施しました。
3.「トク刷るポイント」から換金性の高い他社ポイントへの交換サービスにつきましては、追加のセキュリティ対策を検討しています。ポイント交換時におけるより強固なセキュリティ対策が完了するまで、他社ポイントへの交換受付を全面停止させていただいております。ご迷惑をおかけしますが、何とぞご了承下さいますようお願い致します。
【お客様への大切なお願い】
このたびの不正ログインの手法は、第三者がブラザー以外から不正に入手したログイン情報（メールアドレスとパスワード）の組み合わせを利用した「リスト型攻撃（リスト型アカウントハッキング）」と判断しています。
同様の事態の再発を防ぐため、ブラザーオンラインのパスワードは、他のサービスで使用していないパスワードに変更いただきますようお願いいたします。他社サービスにつきましても、同じパスワードの使い回しはせずに、サービスごとに異なるパスワードに変更いただくことをお勧めいたします。