求人情報サービス「バイトル」「バイトルNEXT」を運営するディップは10月9日、不正アクセスにより最大388万5,771件の会員メールアドレスが漏えいした可能性があると発表した。漏えいした情報はメールアドレスのみで、氏名・電話番号・パスワード・クレジットカード情報は含まれていないとしている。
事案の詳細
ディップによると、10月6日に不正アクセスを確認した。原因は、Webサイトの一部機能における仕様の不備を突いた、海外からのアクセスだったという。調査の結果、最大388万5,771件の会員メールアドレスが外部に取得された可能性があることが判明した。
漏えいした可能性がある情報はメールアドレスのみで、氏名、電話番号、パスワード、クレジットカード情報などは対象に含まれていないとされる。10月9日の発表時点で、当該メールアドレスのインターネット上への公開や、これに起因する不正利用は確認されていない。
ディップは、不正アクセスを確認後、海外からのアクセスを全面的に遮断し、悪用された機能のプログラムを改修した。あわせてセキュリティ対策と監視体制の強化を実施したとしている。
影響と背景
漏えいした情報がメールアドレスのみであることから、氏名・電話番号などと組み合わせた精巧ななりすましのリスクは相対的に低いと見られる。ただし、388万件という規模のメールアドレスが流出した場合、フィッシングメールや迷惑メールの送付先リストとして悪用される可能性は残る。
「バイトル」は求人応募者を中心に広く利用されている求人情報サービスであり、過去にも複数回の不正アクセス事案が公表されている。Webサイトの機能の仕様不備が繰り返し突かれている点は、同種のサービスを提供する事業者にとっても教訓となる。
対策・今後の展望
- 利用者側：バイトル・バイトルNEXTの会員である場合、公式サイトやアプリからの案内を確認する。「お詫び」を装うフィッシングメールに注意し、不審なメールのリンクを開かない。
- パスワードの使い回しの確認：パスワード自体は漏えい対象に含まれていないとされるが、念のため同じメールアドレスを使った他サービスへの不審なログイン試行がないか確認する。
- 事業者側：Webサイトの機能について、想定外の入力や挙動を許容してしまう仕様上の不備がないか、定期的な脆弱性診断・ペネトレーションテストで点検する。
CSRIからの現場アドバイス
【現場で何が起きているか】CSRIが支援する中小企業のWebアプリ脆弱性診断でも、「バグではないが意図しない使われ方ができてしまう」仕様上の不備が見つかることは少なくない。パラメータの入力値チェックが甘い、本来想定しない組み合わせのリクエストが通ってしまうといった点が典型例だ。
【平易な解説】例えるなら、鍵は壊れていないのに、ドアの建て付けの隙間から手を入れて鍵を開けられてしまうようなものだ。「脆弱性」と聞くとソフトウェアのバグを想像しがちだが、仕様自体に想定外の抜け道が潜んでいることもある。
【今週中にできること】自社のWebサイト・Webアプリで、会員情報の一覧取得やエクスポートなど、大量データを扱う機能がある場合、アクセス制限や認可チェックが適切に実装されているか改めて確認する。海外からのアクセスを原則制限する、短時間での大量リクエストを検知してブロックする仕組みの導入も検討したい。