J-WAVE Webサイトへの不正アクセスについてまとめてみた

2016年4月22日、J-WAVEは同社のWebサイトが不正アクセスを受け、顧客情報が漏えいした可能性があると発表しました。ここでは関連情報をまとめます。

公式発表

【J-WAVE WEBサイトへの不正アクセスによる個人情報流出の可能性に関するお知らせ】
詳細はコチラ ⇒ https://t.co/fcyCL3vYGj #jwave
— J-WAVE 81.3FM (@jwave813fm) 2016年4月22日

2016年4月22日不正アクセスによる個人情報流出の可能性に関するお知らせ
2016年4月22日 [PDF] J-WAVE WEB サイトへの不正アクセスによる個人情報流出の可能性に関する概要
2016年4月28日 [PDF] J-WAVE WEB サイトへの不正アクセスによる個人情報流出の可能性に関する概要
2016年5月2日 [PDF] J-WAVE WEB サイトへの不正アクセスによる個人情報流出の可能性に関する特別調査委員会の設置について
2016年6月13日 J-WAVE WEBサイトへの不正アクセスによる個人情報流出の可能性に関する特別調査委員会による調査結果のお知らせ (魚拓)
- [PDF] OS コマンドインジェクション攻撃に起因する個人情報漏えい事案の調査結果報告書
- [PDF] ■今後の体制■

インシデントタイムライン

日時	出来事
2016年4月21日 0時〜3時	J-WAVEのWebサーバーへ不正アクセスが発生。
同日	外部専門会社がサーバーの異常を把握。
同日夕方	J-WAVEシステム会社が調査し、不正アクセスを確認。
2016年4月22日	J-WAVEが警視庁へ被害届を提出。
同日	J-WAVEが不正アクセスについて発表。
2016年4月28日	J-WAVEが不正アクセスについて続報を発表。
2016年5月2日	J-WAVEが調査委員会設置について発表。
2016年6月13日	J-WAVEが調査委員会からの調査報告書を受領し、その内容を発表。

不正アクセスの被害

J-WAVEのWebサーバー「www.j-wave.co.jp」が不正アクセスを受けた。
J-WAVEが保有する個人情報約64万件が漏えいした恐れがある。
2007年以降 J-WAVE メッセージフォームより番組へメッセージを送付した人、またはプレゼント応募をした人が対象。
2016年4月22日夜までに漏えいした恐れのある情報の悪用は確認されていない。*1
2006年以前は保存期間を過ぎているため消去済みであった。

情報漏えいした恐れのある情報項目

少なくとも次の情報が含まれる。

氏名
住所
電話番号
メールアドレス
職業

次の情報は漏えい対象に該当しないとして発表されている。

電子メールより送付したもの
Twitterより送付したもの

発端

外部の専門会社社員がサーバーの異常(ディスク容量の減少警告)に気付いたことによる。*2
攻撃者が様々な圧縮ファイル等を書き込み続けていたため。*3

原因

J-WAVEのブログプログラムで使用しているソフトウェア「ケータイキット for Movable Type」にコマンドインジェクションの脆弱性が存在し、これを突く不正アクセスを受けたため。
これはアクセスログの解析より判明した。

J-WAVEが不正アクセスを受けたブログプログラムはMovable Type

J-WAVE NewsのMETAタグに「Movable Type」と記載されていることを確認できた。

また10年以上前の情報であるがJ-WAVEがMovableTypeを使用していたとの情報が存在する。

J-WAVEが、Movable Typeで番組ウェブログをスタート (魚拓)

緊急パッチが公開された「ケータイキット for Movable Type」

現時点でこの不正アクセスとの関連は不明ながら2016年4月22日にアイデアマンズ株式会社より同社製品の「ケータイキット for Movable Type」の緊急パッチが公開されている。

ケータイキット for Movable Typeの脆弱性について緊急パッチファイルの提供を開始

想定される影響に「OSコマンドインジェクション」の記述が存在する。

ケータイキット for Movable Type の画像処理機能には、OS コマンドインジェクションの脆弱性が存在します。悪意のある任意のリクエストパラメータにより、任意の OS コマンドを実行される可能性があります。

影響を受ける範囲は次の通り。

ケータイキット for Movable Type 1.35 〜 1.641
2010年1月27日にVer.1.49リリースのお知らせを確認でき、少なくとも2010年1月以降の製品は影響を受ける。（それ以前は掲載を確認できず不明。）

ケータイキットの導入実績は1000ライセンス以上とあり、シックス・アパートからケータイキットをバンドルした「Movable Type 携帯Pack(Movable Type Mobile pack)」、スカイアークから「MTCMS」も販売されている。

2006年の発売以来、1000ライセンス以上(2010年5月現在)をご導入いただきました。また、2009年よりシックス・アパート株式会社でもバンドル製品「Movable Type 携帯Pack」の販売が開始され、Movable Typeの携帯対応プラグインのデファクトスタンダードとして多くのお客様にご活用いただいています。
http://www.keitaikit.jp/