【ITニュース解説】ポケモングッズ通販に不正ログイン - 会員情報の改ざんも

今回のニュースは、人気キャラクターグッズを扱う「ポケモンセンターオンライン」という通販サイトで、第三者による不正ログインと会員情報の改ざんが起きたという内容だ。この事態は、インターネットサービスを利用する多くのユーザーにとって身近な脅威であり、システムエンジニアを目指す者にとっても、Webサービスのセキュリティを考える上で非常に重要な事例となる。

まず、「不正ログイン」とは何かについて説明する。これは、本来アクセスする権限のない第三者が、正規のユーザーになりすましてシステムにログインすることだ。通常、Webサービスではユーザーを識別するためにIDとパスワードを使うが、このIDとパスワードが何らかの形で第三者の手に渡ってしまうと、その人物は正規のユーザーとしてサービスにアクセスできるようになる。今回のケースでも、ポケモンセンターオンラインの正規ユーザーのアカウントが不正に利用されたということだ。

では、なぜこのような不正ログインが発生するのだろうか。いくつかの主な原因が考えられる。一つは「パスワードの使い回し」だ。多くのユーザーは複数のWebサービスで同じIDとパスワードを使いがちだが、もしそのIDとパスワードが別の、セキュリティが手薄なサイトから流出してしまった場合、攻撃者（サイバー犯罪者）は流出した情報を元に、他のサイトでも同じ組み合わせを試す。これを「リスト型攻撃」と呼ぶ。今回のポケモンセンターオンラインの事例でも、このリスト型攻撃によって不正ログインが発生した可能性が指摘されている。つまり、ポケモンセンターオンライン自体からパスワード情報が流出したわけではなく、別の場所から漏れた情報が悪用された可能性が高いということだ。他には、IDとパスワードを一つずつ手当たり次第に試す「ブルートフォースアタック（総当たり攻撃）」や、辞書に載っている単語やよく使われるパスワードのパターンを試す「辞書攻撃」などもある。また、偽のWebサイトやメールでIDとパスワードをだまし取る「フィッシング詐欺」も、不正ログインの原因となり得る。

不正ログインが成功すると、その後に「会員情報の改ざん」のような被害が発生する。会員情報とは、ユーザーがサイトに登録している氏名、住所、電話番号、メールアドレス、支払い方法（クレジットカード情報など）といった個人情報のことだ。攻撃者はログイン後、これらの情報を閲覧できるだけでなく、変更することも可能になる。例えば、登録されている住所を自分の管理する住所に変更し、商品を不正に購入させたり、ポイントを不正利用したりするケースが考えられる。また、クレジットカード情報が悪用されれば、金銭的な被害に直結する可能性もある。このような事態は、ユーザーのプライバシー侵害だけでなく、金銭的な被害や、不正利用されたことによる信用失墜など、深刻な影響を及ぼす。

このような不正ログインや情報改ざんを防ぐために、システム側、そして利用者側それぞれがどのような対策を講じるべきかを見ていこう。

まず、システムエンジニアとしてWebサービスを開発・運用する側が取るべき対策は多岐にわたる。 最も基本的なのは、パスワード管理の強化だ。データベースにパスワードを保存する際は、そのままの形（平文）ではなく、「ハッシュ化」という技術を使って、元のパスワードが分からないように変換して保存する。さらに「ソルト」と呼ばれるランダムな文字列を付加してハッシュ化することで、より解読されにくくする。また、パスワードの最低文字数や、英大文字、小文字、数字、記号を組み合わせることを必須とするなど、ユーザーに複雑なパスワードを設定させるための要件を設定することも重要だ。 次に、不正ログインを検知・防御する仕組みも必須だ。短時間に何度もログインを試行するIPアドレスからのアクセスをブロックする「ロックアウト機能」や、異常なアクセスパターンを検知する「IDS（侵入検知システム）」や「IPS（侵入防止システム）」、Webアプリケーションへの攻撃を防ぐ「WAF（Web Application Firewall）」なども導入される。 さらに、「多要素認証（MFA）」の導入は、不正ログイン対策として非常に効果的だ。これは、パスワードによる認証だけでなく、スマートフォンに送られるワンタイムパスワードや、生体認証（指紋、顔など）、認証アプリなど、複数の異なる要素を組み合わせて本人確認を行う方法だ。たとえパスワードが漏洩しても、もう一つの認証要素がなければログインできないため、不正ログインの成功率を大幅に下げることができる。 また、システムの脆弱性（セキュリティ上の弱点）を定期的に診断する「脆弱性診断」や「ペネトレーションテスト（侵入テスト）」を専門業者に依頼し、潜在的なリスクを洗い出して修正することも重要だ。これにより、攻撃者が利用できるセキュリティホールを未然に防ぐことができる。

一方、サービスを利用する私たち利用者側も、セキュリティ意識を高め、自衛策を講じる必要がある。 最も重要なのは「パスワードの使い回しをやめる」ことだ。サービスごとに異なる、長く複雑なパスワードを設定することが基本となる。これを手動で管理するのが難しい場合は、安全なパスワード管理ツールを利用するのも良い方法だ。 次に、サービス側が多要素認証を提供している場合は、必ず設定して利用するべきだ。これは、利用者自身が自分のアカウントを守るための強力な盾となる。 また、不審なメールやSMS、あるいは見慣れないURLリンクには安易にアクセスしないように注意することも不可欠だ。これらはフィッシング詐欺の可能性があり、誤って個人情報やパスワードを入力してしまうと、不正ログインの被害に遭う直接の原因となる。 定期的に自身の会員情報や注文履歴を確認し、身に覚えのない変更や取引がないかをチェックすることも大切だ。もし不審な点があれば、すぐにサービス提供者に連絡し、パスワードを変更するなどの対応を取る必要がある。

今回のポケモンセンターオンラインの事例は、たとえ大手企業が運営するサービスであっても、セキュリティ上のリスクは常に存在することを示している。システムエンジニアを目指す者としては、このようなインシデントが発生した際に、その原因をどのように特定し、どのような対策を講じるべきか、そして何よりも、そもそもこのような事態を未然に防ぐためのセキュリティ設計や実装がいかに重要であるかを深く理解する必要がある。Webサービスを安全に利用し、提供するためには、システム側の技術的な対策と、利用者側のセキュリティ意識の向上が両輪となって機能しなければならない。常に最新の脅威に目を向け、それに対応できる知識と技術を身につけることが、これからのシステムエンジニアには強く求められる。