大手企業が顧客サービスを提供するサイトで、不正ログインの被害が相次いだ。いずれも、他社サービスから過去に流出した可能性があるID・パスワードを利用した「パスワードリスト攻撃」によるものとみられ、「パスワードの使いまわし」を見直すよう注意が呼びかけられている。
■東北電力の会員サイトに不正ログイン、ポイント約500件が不正交換
東北電力は16日、同社の会員向けWebサービスサイト「よりそうeねっと」で大量の不正ログインが発生、うち約500件がハッキングに成功し、顧客約500名が保持するポイントが不正に交換されたと発表した。発表によると、同社は15日午前9時55分頃、同サービスサイトへの規定値を超えたアクセスを検知してサービスを停止。また、会員向けポイント（よりそうeポイント）が見知らぬ共通ポイントに交換されたという問合わせを受けたことから、サービスの停止を継続し、原因調査を進めた。
調査の結果、今月10日から15日にかけて、複数の特定IPアドレスから同サイトに大量の不正アクセスが試みられていた。そのほとんどは、ログインIDやパスワードが違うためにログインに成功していない。また、現時点で同社サイトからログインID・パスワードが漏えいした事実は確認されていない。これらにより、他のサービスから過去に流出したログインIDやパスワードを使った攻撃（パスワードリスト攻撃）が行われたとみられる。同社は該当する顧客約500名に個別に連絡している。また、同サービスは現在停止しているが、原因の究明と再発防止対策を講じた上で、サービス再開するとしている。
■ローソンの宅配サービスに不正ログイン、ポイント18万円分が不正使用
ローソンは21日、同社のWeb会員向けサービスサイト「ローソンフレッシュ」で不正ログインが発生し、顧客が保持するポイント（Pontaポイント）が不正利用されたと発表した。ローソンフレッシュはインターネットを使った宅配サービスで、ポイントの不正利用被害は3件、被害額は約18万円（18万4414ポイント）という。クレジットカードの不正使用による被害は発生していない。同社によると、9月末頃からWeb会員向けサービスサイトにおいて、本人以外の第三者による不正ログインが多数発生していた。他社サービスから流出したID・パスワードを利用した攻撃（パスワードリスト攻撃）とみられ、攻撃を検知した際は直ちにアクセスをブロックする措置を講じてきたという。
Web会員向けサービスサイトはローソンフレッシュのほか、「ローチケHMV」、「ローソントラベル」、「USEN550ch×HMV」がある。これらのサービスで他のインターネットサービスと同じパスワードを使用している場合、不正ログインを受ける危険がある。このため同社は、全顧客に対しパスワード変更を依頼する方針を固め、11月21日以降、個別にパスワード変更をお願いするメールを配信していく。また今後、ローソングループの全てのサイトにおいて、セキュリティ体制の強化を図っていくとしている。
（2016/11/22 ネットセキュリティニュース）
【関連URL】
・「よりそうｅねっと」への不正アクセスに伴うサービス停止について（東北電力）
http://www.tohoku-epco.co.jp/news/normal/1193122_1049.html
同PDF版
http://www.tohoku-epco.co.jp/news/normal/__icsFiles/afieldfile/2016/11/16/1193122.pdf
・ローソンWEB会員向けサービスサイトご利用のお客様に向けたパスワード再設定のお願いを実施いたします（ローソン）
http://www.lawson.co.jp/company/news/detail/1284326_2504.html