6月10日以降、大手サービスへの不正ログイン攻撃が相次ぎ明らかになった。「niconico」は10日、「LINE」は12日、「mixi」は17日、他社サービスから漏えいしたと推定されるID/パスワードで、不正ログイン攻撃を受けたことを明らかにした。
これらサービスの運営会社は、いずれも自社からのアカウント情報漏えいはなく、他社サービスから漏えいしたID/パスワードを使ったリスト型アカウントハッキング（不正入手したIDとパスワードの組み合わせをリストのように使い、他サービスにログインを試みる攻撃）の可能性が高いとしている。
リスト型攻撃は、「複数サービスでパスワードを使い回しているユーザー」が標的となる。サービスごとにIDが違えば、パスワードが同じでもリスト型攻撃は成功しないが、サービス側はIDとしてメールアドレスを設定することが多いため、パスワードを使いまわせば、ID（メールアドレス）とパスワードの組み合わせが共通になってしまう。
今回相次いだ不正ログイン攻撃では、情報漏えいやポイントの不正利用、本人になりすまして友人に電子マネー購入を勧誘するなどの被害が発生している。「LINE」および「mixi」では、現在も攻撃が継続しているようだ。こうした被害にあわないために、パスワードの使い回しをしていないか、安易なパスワード設定になっていないかなど、パスワード管理の基本を改めて見直しておきたい。
■「niconico」に不正ログイン、ポイント不正使用で17万円余の被害
動画サービスの「niconico」は6月10日、複数アカウントに対する不正ログインを検出したと発表した。ユーザーが他のサービスで利用しているメールアドレスやパスワード等と同じものを使ったため、それを流用して行われたリスト型攻撃である可能性が高いとし、パスワードを独自のものに変更するよう注意を喚起した。同13日には、運営会社のドワンゴが一連の経緯を公表した。同社によると、ユーザーの問合わせから不正ログインを疑い、6月9日に社内調査を開始。翌10日には同一IPアドレスよる大規模な不正ログイン、および一部コンテンツ（ゲーム）でのポイント不正使用を確認し、課金停止や通知などの対策を講じた。
不正ログインが認められた期間は5月27日から6月4日の9日間で、方法は上記のリスト型であると判明。不正ログイン試行回数は220万3590回、突破件数は21万9926アカウント。「ニコニコポイント」の不正使用は19アカウントで発生し、被害総額は17万3610円だった。同社は不正ログインで想定される被害として、ポイントの不正使用のほか、「アカウント登録情報（性別、生年月日、居住地域、メールアドレス）の閲覧」「公開範囲を限定している登録情報（性別、生年月日等）の閲覧」「登録メールアドレスやパスワードの変更」「動画やコメントなどのなりすまし投稿」をあげ、対策として「パスワードの変更」を強く推奨した。
・他社流出パスワードを用いた不正ログインについて（niconico）
http://blog.nicovideo.jp/niconews/ni046768.html
・「niconico」への不正ログインに関するご報告（ドワンゴ）
http://info.dwango.co.jp/pi/ns/2014/0613/
■「LINE」のアカウント乗っ取り、成りすまして電子マネー購入を勧誘
無料通話アプリ「LINE」の公式ブログは6月12日、日本のユーザーから「自分のアカウントが第三者（見知らぬ誰か）により利用されている」という問い合わせが増えており、原因を調査したところ、LINEへの不正ログインと思われる事象が確認されたと発表した。報道によれば、5月下旬頃からLINEのアカウントが何者かに乗っ取られ、本人になりすまして友人らに電子マネーの購入を持ちかけられたという相談が相次いでいるという。
同ブログは、LINEのアカウント情報（電話番号、アカウント名、LINE ID、登録メールアドレス、パスワード等）が外部に流出した事実はないため、不正ログインは他社サービスから第三者にメールアドレスやパスワード等が渡り、悪用されたものと思われるとしている。こうした悪用を防ぐ対策として、他のサービスと同じメールアドレスとパスワードをLINEでも設定しているユーザーはパスワードを変更するよう強く推奨。「より安全なパスワードの付け方」を説明し、アカウントを乗っ取られないよう注意を促している。
・他社サービスと同じパスワードを設定している皆様へパスワード変更のお願い（LINE公式ブログ）
http://official-blog.line.me/ja/archives/1004331596.html
■「mixi」に不正ログイン26万3596件、リスト攻撃は継続中
ソーシャルネットワーキングサービスの「mixi」は6月17日、不正ログインの被害状況を公表した。5月30日に疑わしいIPから外部アタックがあり、6月2日にユーザーからの問合わせを受けて調査を行った結果、不正ログインを確認。対象ユーザーへの告知は発覚当初より実施しているが、攻撃が止まず対象者も拡大していることから、公表に至ったという。
6月16日24時の時点で、不正ログイン試行回数は約430万回、突破件数は26万3596アカウントで、他社サービスから流出または不正取得されたアカウント情報を流用した攻撃である可能性が高い。mixiは今年2月にもリスト型不正ログイン攻撃を受けているが、そのときは乗っ取ったIDを不正使用し、「mixiボイス」で身に覚えのない投稿が多数なされるという被害があった。しかし、今回の攻撃では、そうした不正投稿、および課金やmixiポイントの不正利用は今のところ確認されていない。
同社は、該当ユーザーのうち1か月以内にmixiにログインしているユーザー（7万8058アカウント）には、mixiメッセージでパスワード変更を依頼。1か月以内にmixiにログインしていないユーザー（16万7617アカウント）にはログイン一時停止の措置をとった。また、全ユーザーに対し、他社サービスとメールアドレス・パスワードの使い回しを避けるよう、トップページに告知を掲載した。
・SNS「mixi」への不正ログインに関して（ミクシィ）
http://mixi.co.jp/press/2014/0617/12217/
（2014/06/18 ネットセキュリティニュース）
【関連URL】
・全てのインターネットサービスで異なるパスワードを！（IPA）
http://www.ipa.go.jp/security/txt/2013/08outline.html