ソースネクストは、同社の会員情報取得APIが不正アクセスを受け、暗号化して保存していたパスワードが復号された状態で外部に流出したと説明した。攻撃者は、暗号化されたパスワードを復号するための鍵にアクセス可能なシステム（API）から、パスワードを取得したとみられる。
事案の詳細
ソースネクストでは、同社の会員情報取得APIへの不正アクセスにより、最大約2252万件の氏名、住所、パスワードなどが漏えいした。
同社の広報担当者は、パスワードについて「暗号化して保存していた」と説明。一方で、暗号化されたパスワードを復号するための鍵にアクセス可能なシステム（API）に不正アクセスが行われ、パスワードが復号された状態で外部に流出したことを確認しているという。
同社によると、復号鍵そのものが流出したわけではない。攻撃者が、復号鍵にアクセス可能なAPIを悪用することで、パスワードを平文に戻した状態で取得したとみられる。侵入経路や攻撃者の詳細、漏えいした情報の内訳については、現時点で不明な点がある。
また、ソースネクストは、パスワードをハッシュ化していなかった理由について、当該システムの開発時期が古く、当時採用した暗号化方式を継続して使用していたためと説明した。最新のハッシュ化方式への移行ができていなかったという。具体的な開発時期は明らかにしていない。
影響と背景
今回の問題は、パスワードを暗号化して保存していても、復号処理を行うAPIや暗号鍵にアクセスできるシステムが侵害されれば、パスワードが復号された状態で流出し得ることを示した。
パスワード保管では、一般に復号を前提とする暗号化ではなく、元のパスワードを復元できないハッシュ化と、適切なアクセス制御を組み合わせることが重要になる。ソースネクストは、全顧客のパスワードを強制リセットし、顧客に再設定を求めている。
対策・今後の展望
利用者は、ソースネクストで使用していたパスワードを変更し、同じパスワードを使い回している他サービスでも速やかに変更する必要がある。再設定後のパスワードの管理方法について、同社はシステムのセキュリティ確保を理由に、具体的な方式や今後の対応の詳細を明らかにしていない。
- パスワードの使い回しを避ける：ソースネクストと同じパスワードを他のサービスでも使っている場合は、メール、金融、決済など重要なアカウントから優先して変更する。
- パスワードを再設定する：同社の案内に従い、ソースネクストのアカウントで新しいパスワードを設定する。
- 多要素認証を利用する：対応しているサービスでは多要素認証を有効にし、パスワードが漏えいした場合の不正ログインリスクを抑える。
- 組織側で鍵とAPIを分離・管理する：復号鍵へのアクセス権限を最小限にし、APIの認証、権限、監視、ログ分析を強化する。具体的なソースネクストの実装状況は現時点で不明。
CSRIからの現場アドバイス
【観点①：現場で何が起きているか】暗号化を導入していても、復号鍵や復号処理を担うAPIへのアクセス制御が不十分であれば、保護対象の情報が復号された状態で流出する可能性がある。管理系システムやAPIへの不審なログイン、権限の濫用、通常と異なる大量の情報取得を監視することが重要だ。
【観点②：平易な解説】金庫に入れた情報を守るには、金庫だけでなく鍵の保管場所も守る必要があります。今回の事案では、復号鍵そのものが流出したのではなく、鍵にアクセスできるAPIが不正アクセスを受け、パスワードが復号された状態で取得されたと説明されています。
【観点③：今週中にできること】利用者は、ソースネクストのパスワードを再設定し、同じパスワードを使用している他サービスの認証情報も変更してください。組織では、復号鍵にアクセスできるアカウントとAPIを棚卸しし、不要な権限を削除するとともに、アクセスログと大量取得の有無を確認してください。