「ふるさとプレミアム」における不正ログインのご報告とお詫び

平素はふるさとプレミアムサイトをご利用いただきまして誠に有難うございます。
ふるさとプレミアム運営事務局でございます。
掲題につきましてご利用者の皆様に謹んでご報告申し上げます。

このたび、ふるさと納税支援サイト「ふるさとプレミアム」に
外部からの「パスワードリスト攻撃（※1）」による不正ログインがあったことが判明しました。

不正ログイン者（なりすまし）は会員様の個人情報等を閲覧できた可能性があります。
不正ログイン発見後、運営事務局にて、不正ログインされた可能性のあるご利用者様のパスワードをリセットし
かつ、大量アクセスを自動的に遮断できるシステム（※２）を導入。
その後の不正アクセスは遮断できていると考えておりますが、
ご利用者様をはじめ、関係の皆様方には、
多大なご迷惑とご心配をお掛けすることとなり深くお詫び申し上げます。

なお、クレジットカード情報や決済情報は、外部の決済代行サービスが全く別の場所に保有しており、
ふるさとプレミアムのサーバーには一切保有していなかったため、流出は全くありません。

※1．パスワードリスト攻撃：他社サービスから流出した可能性のあるIDとパスワードを利用して、Webサービスにログインを試みる手法です。
※2．大量アクセスを自動的に遮断できるシステム･･･Google Cloud が提供するReCaptchaというサービスです。
詳しくはこちらをご覧ください。：Recaptcha Enterprise | reCAPTCHA Enterprise | Google Cloud

運営事務局は、セキュリティ強化を最重要項目として取り組んでまいりましたが、
今回不正ログインを受ける事態となり、これを重く受け止めております。
現在、セキュリティ専門家の第三者機関を交え、事実関係をより正確に把握するための詳細な調査をしております。
それを受けて恒久的安全対策の導入をする方針を固めております。
既に管轄の警察署に相談し捜査依頼を行い受理されました。
その他監督省庁や専門機関への報告も済ませておりますことを申し添えます。

現時点で判明している事実は以下の通りです。

記

１．経緯

運営事務局にて2022年2月17日午後1時にサイト管理画面の異常に気が付き調査を開始、
ディスク使用量が100％に到達していたため、その原因をさらに調査したところ、
膨大な回数のパスワードリスト攻撃を受けていた可能性があることが判明しました。
不正ログインはいわゆる「なりすまし」のため、ご利用者様ご本人のログインと区別が付きません。
先ず大量アクセスを自動的に遮断できるシステムを導入してbotによるパスワードリスト攻撃を遮断しました。
次に不正ログインと見做し得る攻撃対象5,774件について、ご利用者様IDに紐づくパスワードの強制リセットを行いました。
その後対象のご利用者様にはパスワード強制リセットのご連絡をしております。
（以上を同日午後21時38分までに完了）

２．原因および当社への影響

これまでの調査により下記が判明しております。
これは外部専門家による調査結果ではありません。詳細は3月11日以降に判明する予定です。

• 攻撃推定日　2022年2月13日～2月17日（発見～暫定対策完了は2月17日）
• 攻撃方法　パスワードリスト攻撃
• 攻撃回数　約600万回（主に日本国内の2,000以上のIPアドレスから分散攻撃の形跡あり）
• 不正ログイン成功数　推計2,099ユーザー （不正ログイン者（なりすまし）が住所、氏名、性別、誕生日、電話番号、並びにAmazonギフトコードを閲覧または画像撮影できた可能性がある。

３．対象となるご利用者様への対応

運営事務局では、対象となるご利用者様には、ご登録されたメールアカウントにパスワード強制リセットのご連絡をしております。
今のところ、個人情報流出の事実は確認されておらず、また個人情報を悪用されたことによる被害を受けたという報告はございませんが、
万一、当該データを悪用したと思われる不審な連絡や被害を受けた場合、下記窓口までご連絡をいただくようにお願い申し上げます。
またAmazonギフトコードを不正ログイン者（なりすまし）が閲覧・記録されたことによる不正利用が疑われるご利用者様もご連絡ください。
運営事務局にてAmazonギフトコードの再発行を検討しております。

【お客様相談窓口】
専用問合せフォーム：https://26p.jp/pages/contact20220302
専用のコールセンターを開設致しました。
専用フリーダイヤル：0120ｰ151-015
受付時間：10:00～17：00（土・日・祝含む、ただし3月2日と3日は20:00まで受付）

４．再発防止策について

運営事務局では、セキュリティを専門とする第三者機関に事態の解析を依頼しており
報告結果を受けて抜本的かつ恒久的な再発防止策を実施することを決定しております。

＜ご利用者様への改めてのお願い＞
不正ログイン防止の観点から、この機会に、より堅牢なパスワードの設定を強くお願いするものです。
1）他のサービスで使用しているパスワードの「使いまわし」は危険です。
2）過去に使っているパスワードを使うことは危険です。
3）第三者が容易に推測できるパスワード（誕生日、電話番号など）は危険です。
運営事務局ではこの機会にご利用者様にパスワードの再設定をお願いしております。

５．今後について

本件について、第三者による調査結果が判明次第、本サービス内にてご報告をさせていただきます。
改めまして、ご利用者様および関係の皆様方には、多大なご迷惑とご心配をおかけしましたことを深くお詫び申し上げます。

以 上

ふるさとプレミアム運営事務局

＜運営会社＞
株式会社ユニメディア
千代田区内幸町2-2-3日比谷国際ビル6F