日本経済新聞社は10月4日、社員のMicrosoft 365アカウントへのサイバー攻撃による情報漏えいと、Google Workspaceアカウントからの情報漏えいの疑いを公表しました。 Microsoft 365ではなりすましメール約9000件が送信され、Google Workspaceでは社員や取引先など1646人分の個人情報が漏えいした可能性があります。 両アカウントとも、パスワードの変更後は不正ログインが確認されていないとしています。
Microsoft 365から悪性サイトへ誘導するメールを送信
業務ソフトのMicrosoft 365では、社員のアカウントに第三者が不正にログインしたとみられています。 9月30日には、社内や社員とやりとりのあった取材先などへ、悪性サイトに誘導する内容のメールが送信されました。 送信先のメールアドレスや氏名に加え、一部のメールの内容も漏えいしたとみられます。
日本経済新聞社は、送信先に個別に連絡してメールの削除を依頼しました。 個人情報保護委員会にも報告し、侵害を受けた範囲や漏えいした個人情報の件数を調査しています。 同社広報室は、調査を進めるとともに、セキュリティー対策をさらに強化して情報管理を徹底する方針を示しました。
日経BPも10月4日、従業員のメールアカウントが9月30日に不正アクセスを受けたことを公表しました。 日本経済新聞社の社員のメールアドレスで届いたフィッシングメールから認証情報を入手され、メール送受信先の一部に当たる個人名とメールアドレス26件が漏えいした可能性があります。 日経BPは、不正アクセスの判明後すぐに当該アカウントへの接続を遮断し、必要な対策を講じたとしています。
日本経済新聞社は、同社やグループ会社の関係者になりすましたメールが増える可能性があるとして、不審なメールを受信した場合の連絡を問い合わせフォームで受け付けています。
Google Workspaceでは読者や取材先の情報は対象外
業務用クラウドサービスのGoogle Workspaceでは、社員が使っていたアカウントに7月下旬以降、外部からの不正ログインがありました。 日本経済新聞社は8月上旬にGoogleから通知を受けて把握し、すぐにパスワードを変更しました。
漏えいした可能性があるのは、社員や取引先など1646人分のメールアドレスや氏名などです。 読者や取材先に関する情報は含まれていないとしています。 同社は個人情報保護委員会に報告しており、10月4日の公表時点までに二次被害は確認されていません。
パスワード変更とログイン状態の取り消しは別の操作
不正ログインへの対策として、情報処理推進機構（IPA）は、パスワードなどの記憶情報、端末などの所持情報、生体情報のうち二つ以上を使う「多要素認証」を説明しています。 多要素認証を設定していれば、IDとパスワードを不正に利用されても、それだけではログインできないとしています。
一方、ログイン済みの状態を終了させる管理機能もあります。Google Workspaceでは、管理者がパスワードの再設定とは別に、ログイン状態を保持する情報である「ログインCookie」をリセットできます。 この操作ですべてのデバイスとブラウザーからGoogleアカウントをログアウトさせますが、現在のGmailの接続が終了するまでに約1時間かかる場合があります。
Googleは、外部の認証サービスを使うシングルサインオン（SSO）の環境では、Cookieのリセット後もSSOのログイン状態を通じてGoogleアカウントへアクセスできることがあると説明しています。 その場合は、SSOのログイン状態を終了してから、GoogleのログインCookieをリセットします。
Microsoftのアカウント侵害時の対応では、認証・アクセス管理サービスのMicrosoft Entra IDで、新しいサインインをブロックし、認証を更新するための「更新トークン」を取り消す操作があります。 ただし、アプリケーションが独自に発行したログイン状態の情報は、Microsoft Entra IDから直接取り消せず、そのアプリケーション側の仕組みに基づいてアクセスを取り消す必要があります。 取り消し後に実際のアクセスが失われるまでの時間も、アプリケーションの方式によって異なります。
悪性リンクを開いた場合と認証情報を入力した場合の違い
日経BPの事案では、日本経済新聞社の社員のメールアドレスで届いたフィッシングメールから認証情報を入手されたとされています。 フィッシングは、実在する企業やサービスをかたり、偽サイトへ誘導してIDやパスワードなどを盗む手口です。 IPAは、知人のアカウントが乗っ取られ、そのアカウントから偽サイトへのリンク付きメッセージが送られる事例も紹介しています。
メールの真偽について、IPAは差出人のアドレスや文面だけでは判断が難しい場合があるとしています。 確認方法として挙げているのは、メール内のURLや電話番号を使わず、公式サイトや公式アプリから確認する方法です。 また、URLは文字列だけでなく画像にも仕込まれる場合があり、サービスへのアクセスには普段のブックマークや正規アプリを使う対策を示しています。
IPAは、フィッシングサイトへアクセスしても、情報の入力やアプリのインストールなどをしていなければ、基本的に被害は発生しないと説明しています。 IDやパスワードを入力した場合の対処として挙げているのは、速やかなパスワード変更と、同じパスワードを使っている他サービスでの変更です。 不正ログイン後も自分でログインできる場合には、登録されたメールアドレスや電話番号を確認し、自分のものではない情報を削除して正しい情報に戻す対応も示しています。
