2015年1月にSo-netのメールサービスへ行われた不正ログインについてまとめてみた

1月9日、及び1月13日にSo-netが同社のメールサービスにおいて、不正ログインが行われたことを発表しました。ここではその関連情報をまとめます。

公式発表

2015年1月9日 So-netメールサービスへの不正アクセスについて
2015年1月13日 So-netメールサービスへの不正アクセスについて
2015年1月20日 So-netメールサービスへの不正アクセスについて
2015年2月4日 So-netメールサービスへの不正アクセスについて
2015年2月12日「So-net メールサービスへの不正アクセス」の被害影響範囲、原因調査結果、再発防止策について
2015年2月12日不正アクセスによる被害を防ぐためのお客さまへのお願いとSo-netの対応について

インシデントタイムライン

日付	出来事
2014年9月1日〜2015年1月20日	So-netのメールサービスに対して不正ログインのアクセス試行
2015年1月9日	So-netが不正ログインの被害について発表。
2015年1月13日	So-netが不正ログインの被害続報について発表。
2015年1月20日	So-netが不正ログインの被害続報について発表。
2015年2月4日	So-netが不正ログインの被害続報について発表。
2015年2月12日	So-netが不正ログインの中間報告を発表。

被害状況

不正ログインの被害状況

不正ログイン被害件数	被害件数はいずれも調査中の公表値 1,835件(1月9日発表) → 18,877件(1月13日発表) → 20,126件(1月20日発表) → 31,529件(2月4日発表,2月12日発表でも変更なし)
ログイン試行回数	不明
ログイン試行日数	2014年9月1日〜2015年1月20日
ログイン成功率	−

不正ログインによる被害

メール受信の認証に対して不正アクセスを行っていたことが判明。
Webではなく、POPサーバーに対して行われた。

第三者にメールの削除が行われたアカウント	4件
第三者にメールの送信が行われたアカウント	1014件
第三者にメールの閲覧(受信？)が行われたアカウント	特定できず

(参考) So-netのメールサーバー
- 受信メールサーバー：pop.so-net.ne.jp (説明ページ)

(参考) Webメールのログインページ
- So-net Webメールのログインページ
- Access Mailboxのログインページ

不正ログインされたサービス

不正ログイン元に関する情報

国内外等、不正ログイン元に関する情報は公表されていない。

発端

不明

原因

原因の特定には至らず。ただし調査を進めることで以下を推察したと報告。
- So-netのサーバーが不正アクセスを受け、メールアドレス、メールアドレスパスワードが盗まれた可能性は低い。
- 認証成功率、不正アクセスされたアカウントの属性情報、サーバーの不正操作痕跡がないことから内部からの情報漏えいの可能性は低い。
- 事前に何らかの手段で入手したメールアドレス、メールアドレスパスワードを用いて、なりすましによるメール送信が行われた。

対応・対策

不正ログイン被害について発表
不正ログインされたユーザーのパスワードをリセット。
1月9日判明分は個別に変更後パスワードを郵送。
1月13日判明分、1月20日判明分、2月4日判明分はメールにて変更依頼を通知後、変更されない場合はリセットの上パスワードを郵送。
問合せ窓口の設置

2月12日までに対応総当たり攻撃の予防、検知
2月12日までに対応大量のメール送信(いわゆるスパムメール)の予防、検知
2月12日までに対応メールアドレスと異なる文字列のユーザーIDへの変更

2月予定対応メールサービスの不正アクセスの予防、検知の強化
2015年春予定ログイン履歴表示機能の実装

問い合わせ窓口

個人ユーザー

【So-net サポートデスク】
・フリーダイヤル：0120-80-7761
・受付時間 9:00〜19:00　(1月1日、2日及び弊社指定のメンテナンス日を除く)
※NURO 光をご利用のお客さまは専用窓口がございます。
【NUROサポートデスク】(NURO 光をご利用のお客さま専用窓口)
・フリーダイヤル：0120-65-3810
・受付時間 9:00〜19:00　(1月1日、2日及び弊社指定のメンテナンス日を除く)