D7/100
情報漏えい · 高
無印良品ネットストア再開延期 リスト型攻撃で約27万件漏えいの可能性
ティアD · 参考情報 – 知っておくと良い
影響を受ける人： MUJIアプリと無印良品ネットストアの利用者
ティアDの理由： 開発者に影響しない
影響範囲
攻撃
被害
修正
悪用確認済み · 完全な乗っ取り · シークレットの流出
要点
- 良品計画は11月9日、MUJIアプリなどへの不正アクセスに関する第4報を発表した
- 11月6日16時から停止している無印良品ネットストアは、再開を延期することになった
- リスト型攻撃を確認し、新たに約27万件の情報が漏えいした可能性があるとしている
なぜ重要か
パスワードの使い回しが攻撃の起点になり得ることを示す事例である。ネットストアの再開時には全利用者にパスワードの再設定が求められる方向で、同様のサービスを運用する開発者にとっては認証の強化や不正ログイン対策の見直しが課題になる。
ティアの根拠となったチェックリスト
チェックリスト · 10項目中3項目が「はい」
| いいえ | 開発者に影響 | 判定根拠：無印良品ネットストアは一般消費者向けの通販サービスであり、開発者や運用チームが使う製品ではない。 |
| いいえ | 基幹インフラ | 判定根拠：一社の通販サービスであり、ほぼすべてのチームが運用するソフトウェアではない。 |
| いいえ | 人気ツール | 判定根拠：開発者が広く使う技術やツールではなく、一社の顧客向けサービスである。 |
| はい | 悪用確認済み | ITmedia NEWS：リスト型攻撃を確認し、MUJIアプリなどへの不正アクセスを第4報で発表した。 |
| いいえ | 公開エクスプロイト | ITmedia NEWSとimpress Watch：公開されたエクスプロイトや手順に関する記述はない。 |
| いいえ | 認証不要のリモート攻撃 | ITmedia NEWSとimpress Watch：攻撃の経路や必要な認証条件について具体的な記述はない。 |
| はい | 完全な乗っ取り | ITmedia NEWS：リスト型攻撃による不正アクセスが確認され、利用者アカウントが乗っ取られた可能性がある。 |
| はい | シークレットの流出 | ITmedia NEWS：利用者情報約27万件が漏えいしたか、との見出しで報じられている。 |
| いいえ | サプライチェーン | ITmedia NEWSとimpress Watch：ソフトウェアやパッケージへの悪意あるコードの混入に関する記述はない。 |
| いいえ | 修正なし | impress Watch：脆弱性の修正版ではなく、ネットストアの再開を延期するという対応が報じられている。 |
タイムライン
無印良品ネットストアが停止される
第4報で再開延期と全利用者へのパスワード再設定の方向を発表
watch.impress.co.jp
無印良品ネットストア、再開延期 リスト型攻撃を確認
ITmedia NEWS セキュリティ 最新記事一覧
無印良品、ネットストア再開延期 リスト型攻撃を確認、新たに約27万件漏えいか
すべての報道 · ソース2件
- 1時間前 ↗
ITmedia NEWS セキュリティ 最新記事一覧
無印良品、ネットストア再開延期 リスト型攻撃を確認、新たに約27万件漏えいか - 2時間前 ↗
watch.impress.co.jp
無印良品ネットストア、再開延期 リスト型攻撃を確認