日本
The Morning Dev

知っておくべきことだけを、毎朝

‹
 
D6/100

情報漏えい · 高

アララのメール配信サービス不正アクセス 委託先経由で顧客メールアドレスが流出

ティアD · 参考情報 – 知っておくと良い

影響を受ける人： セガ・セガ フェイブのメール会員約219万件が対象

ティアDの理由： 開発者に影響しない

影響範囲

攻撃

被害

修正

悪用確認済み · シークレットの流出

要点

  • セガとセガ フェイブは、メール配信の委託先であるアララへの不正アクセスにより、メールアドレス2,196,044件が外部に流出したと11月9日に発表した
  • セガは10月29日にアララから流出は確認されていないとの報告を受けていたが、その後流出が判明した
  • 同じくアララへの不正アクセスにより、小学館も会員情報約199万件の漏えいのおそれを11月6日に発表している

なぜ重要か

外部のメール配信業務を委託している場合、委託先のシステムが侵害されると自社の利用者データも流出しうることが示された。委託先の管理とデータ提供範囲の見直しが必要になる。

ティアの根拠となったチェックリスト

チェックリスト · 10項目中2項目が「はい」
いいえ開発者に影響メール配信の委託先が対象で、開発者が使うソフトウェアや運用基盤の被害ではないため
いいえ基幹インフラ被害はメール配信委託先の顧客情報流出であり、広く運用される基幹ソフトウェアの侵害ではない
いいえ人気ツール対象は委託先アララのシステムで、開発者が広く使う技術や製品の脆弱性ではない
はい悪用確認済みサイバーセキュリティ.com: アララへの不正アクセスにより、セガのメールアドレス約219万件が流出したと報じられた
いいえ公開エクスプロイトサイバーセキュリティ.com: 公開された攻撃手順や概念実証については一切触れられていない
いいえ認証不要のリモート攻撃サイバーセキュリティ.com: 攻撃経路や認証要件に関する記述がなく、確認できない
いいえ完全な乗っ取りサイバーセキュリティ.com: コード実行や管理者権限の奪取についての記述はなく、確認できない
はいシークレットの流出サイバーセキュリティ.com: セガとセガ フェイブのメールアドレス2,196,044件が外部に流出したと発表された
いいえサプライチェーンサイバーセキュリティ.com: 正規パッケージや更新への悪意あるコード混入の報告はなく、情報流出のみ
いいえ修正なしサイバーセキュリティ.com: 修正が未公開とする記述はなく、未修正の脆弱性は報じられていない

タイムライン

  1. アララから流出は確認されていないとの報告をセガが受ける

  2. 小学館がアララへの不正アクセスによる会員情報漏えいのおそれを発表

  3. セガとセガ フェイブがメールアドレス2,196,044件の流出を発表

  4. サイバーセキュリティ.com

    セガとセガ フェイブが委託先アララへの不正アクセスでメールアドレス219万件流出

  5. サイバーセキュリティ.com

    小学館が委託先アララへの不正アクセスで会員情報約199万件の漏えいのおそれを発表

  6. piyolog

    相次ぐメール配信サービスへの不正アクセスについてまとめてみた

  7. feed.japan.cnet.com

    セガ、メールアドレス約220万件が流出 配信委託先に不正アクセス

  8. xtech.nikkei.com

    アララの情報流出8133万件に拡大、116件の公表から見えた被害の実態

  9. サイバーセキュリティ.com

    学研ホールディングスが委託先アララ経由で17社79万件超の漏えいを確認

すべての報道 · ソース6件

初出： · ソース6件 · 記事ページ · ティアの決め方