日本
The Morning Dev

知っておくべきことだけを、毎朝

‹
 
B46/100

サプライチェーン攻撃 · 高

アララのメール配信サービス侵害 メールアドレス流出

ティアB · 今週中にパッチ – 次のスプリントで対応

影響を受ける人： アララのメール配信を利用する委託元企業の顧客メールアドレス

ティアBの理由： 悪用確認済み または 公開エクスプロイト

影響範囲

攻撃

被害

修正

悪用確認済み · シークレットの流出

取るべき対応

  1. 利用中のメール配信サービスの委託先にアララが含まれるか確認する
  2. アララ経由で届く不審なメールに注意する

要点

  • メール配信の委託先アララへの不正アクセスにより、委託元の企業や団体で顧客のメールアドレスなどの流出が相次いでいる
  • 流出したかその恐れがあるメールアドレスは重複を除き約8133万件に拡大したと日経クロステックが報じた
  • @ITは、情報を持ち出された配信基盤が不審メールの送信にも悪用されていたと伝えている

なぜ重要か

メール配信や会員向け通知を外部の委託先に任せている開発者は、委託先のセキュリティ状況と自社データの取り扱いを確認する必要がある。

ティアの根拠となったチェックリスト

チェックリスト · 10項目中3項目が「はい」
はい開発者に影響メール配信SaaSであり、利用企業のIT部門や運用チームが業務で使うサービスのため
いいえ基幹インフラ特定企業のメール配信サービスであり、ほぼすべてのチームが運用する基盤ソフトウェアではない
いいえ人気ツール国内の一部企業が使うメール配信サービスで、開発者が広く使う一般的な開発技術ではない
はい悪用確認済みitmedia（@IT）は、情報を持ち出された配信基盤が不審メールの送信にも悪用されたと報じている
いいえ公開エクスプロイト各社の公表や報道に、公開されたエクスプロイトや攻撃手順の記述はない
いいえ認証不要のリモート攻撃攻撃の侵入経路や認証の要否について、各報道は具体的に述べていない
いいえ完全な乗っ取り各報道は配信システムへの不正アクセスとデータ流出を伝えるが、管理者権限の奪取までは述べていない
はいシークレットの流出サイバーセキュリティ.comは小学館やセガなどで会員情報やメールアドレスの流出を報じている
いいえサプライチェーン委託先の侵害だが、正規ソフトの配布経路に悪意あるコードが混入したとは報じられていない
いいえ修正なし各報道は調査中や第二報の段階を伝えるが、修正の有無については述べていない

タイムライン

  1. セガがアララから流出は確認されていないとの報告を受ける

  2. 学研ホールディングスが第一報を公表

  3. 小学館と千葉興業銀行が流出のおそれを発表

  4. セガが約219万件の流出を発表、学研が第二報で79万3060件を確認

  5. サイバーセキュリティ.com

    セガとセガ フェイブが委託先アララへの不正アクセスでメールアドレス219万件流出

  6. サイバーセキュリティ.com

    小学館が委託先アララへの不正アクセスで会員情報約199万件の漏えいのおそれを発表

  7. piyolog

    相次ぐメール配信サービスへの不正アクセスについてまとめてみた

  8. feed.japan.cnet.com

    セガ、メールアドレス約220万件が流出 配信委託先に不正アクセス

  9. 日経クロステックが流出件数が8133万件に拡大と報じる

  10. xtech.nikkei.com

    アララの情報流出8133万件に拡大、116件の公表から見えた被害の実態

  11. サイバーセキュリティ.com

    学研ホールディングスが委託先アララ経由で17社79万件超の漏えいを確認

  12. ＠IT Security&Trustフォーラム 最新記事一覧

    セガの220万件流出は氷山の一角 委託先侵害でメールアドレス8100万件が流出

  13. 内閣府がメルマガ利用者6万件超の漏えいを公表

  14. サイバーセキュリティ.com

    千葉興業銀行の顧客メールアドレス17万1,260件がアララへの不正アクセスで流出

  15. ITmedia NEWS 最新記事一覧

    内閣府、メルマガ利用者のメアド6万件超漏えい 氏名なども流出の可能性 アララ不正アクセスで

  16. ITmedia NEWS 最新記事一覧

    メール配信のユミルリンク、不正アクセスで約4786万件漏えい JR東海やアイスタイルに影響

  17. scan.netsecurity.ne.jp

    メール配信サービス「アララメッセージ」に不正アクセス、8,132万9,467件のメールアドレスが漏えい

  18. scan.netsecurity.ne.jp

    メール配信サービス「アララメッセージ」への不正アクセス、再開時期は未定

すべての報道 · ソース12件

初出： · ソース12件 · 記事ページ · ティアの決め方