TopicBase
宝くじ公式サイトと公式アプリで11月4日から5日にかけて、4436人の会員アカウントに第三者が不正ログインしました。このうち4133人は、パスワードも本人の意図に反して変更されました。
公式サイトと公式アプリは11月5日に停止され、全会員のパスワードをリセットしたうえで、11月13日午前8時に再開しました。ログインにはパスワードの再設定が必要です。
外部で入手された認証情報でログイン
不正ログインには、外部で入手されたメールアドレスとパスワードが使われました。手口は「リスト型攻撃」とみられています。これは、別の場所で入手した認証情報の組み合わせを、ほかのサービスで試す攻撃です。
複数のサービスで同じメールアドレスとパスワードを使っていると、第三者がその組み合わせでログインできる場合があります。ログインされると、登録情報や履歴を見られる可能性があります。サービスのシステム自体が直接侵害されなくても、不正ログインが起こり得ます。
全国の都道府県と指定都市は、同じメールアドレスとパスワードを他社サービスでも使っている利用者に、他社サービスのパスワードも変更するよう求めています。被害を受けた会員には個別にメールで連絡しています。
閲覧された可能性がある会員情報
第三者に閲覧された可能性がある情報には、氏名、生年月日、性別、住所、電話番号、メールアドレスが含まれます。プロフィール画像を登録している場合は、その画像も含まれます。
当せん金を受け取る口座については、金融機関名、口座番号の上4桁、口座名義が対象です。クレジットカード情報では、カード番号の下4桁が含まれます。購入履歴については、くじの種類、金額、当落情報が対象です。
公式サイトと公式アプリのサーバーやデータベースへの侵入の形跡はありません。
全会員がパスワードを再設定
個人情報の保護のため、全会員のパスワードがリセットされました。再設定は、登録メールアドレスに届いたメール、または公式サイトのトップページから行えます。再設定後にログインし、登録情報が正しいか確認するよう求められています。
登録メールアドレスを利用できない場合は、本人がパスワードを再設定できません。その場合の問い合わせ先は宝くじコールセンターです。登録メールアドレスの変更にはログインが必要です。
宝くじ売り場で公式アプリのポイントカードを利用する場合も、パスワードの変更が必要です。変更後、公式アプリでポイントカードを表示できるようになります。
停止から再開までの経緯
不正ログインは11月4日から5日に発生しました。事態の発覚を受け、公式サイトと公式アプリは11月5日に停止しました。11月11日には、リスト型攻撃による被害の可能性が示され、パスワードの変更が呼びかけられました。
11月13日には、不正ログインされた会員数と、意図しないパスワード変更の件数が公表されました。被害を受けた4436人のうち、4133人のパスワードが変更されていました。被害を受けた会員には個別にメールで連絡しています。
全国の都道府県と指定都市は、再開に先立ち全会員のパスワードをリセットしました。利用者には、再設定後に登録情報を確認するよう求めています。新たな情報が判明した場合は、改めて案内する予定です。
コールセンターは11月14日と15日も受け付け
宝くじコールセンターの受付時間は、通常、土日祝日と年末年始を除く午前10時30分から午後6時30分です。11月14日と15日は、午前10時から午後5時まで受け付けます。両日とも通常の休業日に当たります。
電話番号は0570-01-1192と011-330-0777です。どちらも通話は有料です。音声ガイダンスでは「1」を選びます。
登録メールアドレスが利用できず、パスワードを自分で再設定できない場合も、この窓口に問い合わせられます。
