6月23日、KDDIがISP事業者向けに提供するメールシステムの脆弱性を突かれ、最大1422万件のメールアドレスとパスワードが漏洩した可能性があることを発表しました。

発表資料には「パスワードには、ハッシュ化・暗号化されたものも含む」と書かれていることから、一部のパスワードを平文で保存していたのではないかと話題になっています。

過去に解約した人を含め、各社からの案内に従ってパスワードを変更することをおすすめします。ただ、現在はアクセスが集中しているとの報告もあり、少し時間を置く必要があるかもしれません。

ココがポイント

エキスパートの補足・見解

KDDIに詳細を問い合わせたものの、現時点では発表資料以上の情報は開示しない方針のようです。ただ、JCOMが「パスワードまたはパスワードハッシュ」と説明しているように、平文のパスワードが含まれることを示唆する記述はいくつかみられます。

なぜ平文で保存しているのかという疑問を抱くところですが、ISP各社のメールサービスは歴史が長いことから、互換性の維持や過去の運用で使われていたデータが残っていた可能性がありそうです。

またハッシュ化している場合でも、パスワードに文字列を付け足して長くするなど一定の対策は必要です。適切に実装されていれば総当たりするしかなく、現実的な時間とコストでは復号できないという意味で安全と考えられます。

いずれにしても、複数のサービスでパスワードを使い回すのをやめること、またサービスごとに異なる十分に長いパスワードを運用するために、パスワードマネージャーのようなツールを使うことが推奨されます。

サービス側が対応している場合は2要素認証やパスキーを設定することも重要です。パスワードがいつか漏洩することを前提とした対策ができているか、この機会に見直しておくとよさそうです。