ドワンゴが「niconico」不正ログイン攻撃の被害状況を公表、お手本のような詳しい情報公開

ドワンゴとニワンゴは、「ニコニコ動画（ニコ動）」や「ニコニコ生放送（ニコ生）」を含むコンテンツ配信サービス「niconico」が不正ログイン攻撃を受けた件に関し、攻撃規模や被害状況などの詳細情報を公表した。それによると、21万9,926件のアカウントが不正ログインされ、19アカウントで「ニコニコポイント」が不正使用されたという。不正使用による被害総額は17万3,610円に上った。

niconico がユーザーからの問い合わせを受けて調査を開始したのは6月9日。この時点の問い合わせ状況は、6月1日に2件、6月9日に1件あっただけだった。翌10日には第三者による不正ログイン試行を検出し、同一 IP アドレスからの大規模な不正ログインが2014年5月27日から6月4日にかけて行われていたことを確認した。さらに、ニコニコポイントが不正に使われたことも確認できたそうだ。

この時点で、不正ログイン攻撃の事実を公表するとともに、ニコニコポイント不正使用が発生したコンテンツ（ゲーム）の課金停止と、不正ログインされたアカウントによる課金など取引機能を一部停止という対策をとった。また、全ユーザーに対してパスワード変更を呼びかけ、不正ログインされたアカウントのユーザーには「【重要】他社流出パスワードを用いた不正ログインについて」と題するメールなどで個別に報告を行った。


niconico で第三者に不正ログインされると、以下の被害を受ける可能性があるという。

・アカウント登録情報（性別、生年月日、居住地域、メールアドレス）の閲覧
・公開範囲を限定している登録情報の閲覧（性別、生年月日など）
・登録メールアドレスやパスワードの変更
・動画やコメントなどのなりすまし投稿
・所有しているニコニコポイントの不正使用

調査結果によると、niconico でメールアドレスやパスワードなどの情報流出はなく、攻撃には各ユーザーが他サービスで利用しているメールアドレス/パスワードと同じものが使われていたという。つまり、外部で盗まれたと考えられる ID やパスワードをもとにしたアクセス（リスト型攻撃）が行われたことになる。複数のサービスで同じパスワードなどを使い回ししているとセキュリティが破られる危険性が高まるため、ニワンゴは niconico アカウントの他サービス用の ID/パスワードを異なるものに変更するよう注意を促している。

なお、約4万件のアカウントが不正ログイン攻撃の影響を受けたと報じられている「mixi」であるが、ドワンゴ/ニワンゴと違い未だ公には否定も肯定もしていない。ただし、6月11日付けで「運営者からのお知らせ」ページに「パスワード変更のお願い」という文書は掲載した。