宝くじ公式サイトで不正ログインの可能性、当落情報や口座情報の一部も閲覧対象に

宝くじを販売する全国の都道府県と指定都市は11月11日、停止中の「宝くじ公式サイト」で第三者が一部会員のアカウントに不正にログインし、購入したくじの当落を含む会員情報を閲覧した可能性があると発表した。

事案の詳細

発表によると、第三者が一部会員のアカウントにログインし、会員情報を閲覧した可能性がある。手口としては、外部で入手したメールアドレスとパスワードでログインを試す「リスト型攻撃」の可能性があるという。

閲覧された可能性があるのは、氏名・住所・電話番号・メールアドレスなどの登録情報と、購入したくじの種類・金額・当落の履歴。

また、当せん金を受け取る口座の金融機関名・口座名義・口座番号の上4桁、クレジットカード番号の下4桁、登録者のプロフィール画像も対象になる。

影響と背景

件数は明らかにしておらず、該当する会員には今後、個別にメールで連絡する。同日までに確認した範囲では、不正ログインによる宝くじの購入や、口座情報を書き換えての当せん金の受け取りはないという。公式サイトのサーバやデータベースに侵入した形跡はなく、会員データの流出も確認していないとしている。

宝くじ公式サイトは、利用者のパスワードが意図せず変わる問題を確認したとして5日から利用を一時停止しており、公式アプリも6日までに止めている。

対策・今後の展望

発表では、リスト型攻撃の可能性があることから、宝くじ公式サイトや公式アプリのユーザーに対し、他のサービスでパスワードを使い回さないよう呼び掛けた。あわせて、不審なメールやサイトにメールアドレスやパスワードを入力しないよう注意も促している。該当する会員には個別にメールで連絡する。

CSRIからのアドバイス

リスト型攻撃は、外部で入手したメールアドレスとパスワードを使い、別のサービスでも同じ組み合わせが通るか試す攻撃として知られる。ID・パスワードの使い回しがある環境ほど起きやすい。

例えるなら、他所で拾われた「合鍵」で玄関を次々に試されるようなものだ。サイト自体に侵入されなくても、同じパスワードを使っているとログインされ、登録情報や履歴を見られ得る。

まず、業務で使う主要サービスのパスワードが使い回しになっていないかを確認する。次に、社内へ「不審なメールやサイトに認証情報を入力しない」ことを周知し、案内メールが届く運用の連絡先管理も見直す。

参照: 宝くじ公式サイト、会員の当落情報まで第三者が閲覧の可能性　リスト型攻撃か