TVerの改ざんについてまとめてみた

2019年4月29日、動画配信サービスのTVerはWebサイト、アプリから参照される画像などが改ざんされたと発表しました。ここでは関連する情報をまとめます。

公式リリース

4月29日午前0時過ぎから午前3時半頃までの間、
TVerのアプリおよびWEBサイトにおきまして、
外部からの不正アクセスにより番組画像等の改ざんが行われました。
ご利用いただいているユーザーの皆様にはご迷惑とご心配をおかけしましたことを深くお詫び申し上げます。

— TVer (@TVer_official) 2019年4月28日

tver.jp

被害の状況

不正アクセスされたとみられるコンテンツ管理システム（アーカイブより、現在アクセス不可）

• TVerのコンテンツ管理システムが外部から不正アクセスを受けた。
• 何者かにより新規投稿や複数の番組画像の一部や番組説明、タイトルが改ざんされた。

• コンテンツが改ざんされた期間は2019年4月29日0時～3時半頃。
• アップロードされていた画像には違法なものも含まれていたとみられる。
• マルウェア感染などコンテンツ閲覧者への直接的な影響はない。
• TVer上で行われていたアンケート情報の漏洩は確認されていない。

原因

• コンテンツ管理システムのアカウント情報（ID、パスワード）が外部から参照可能であったため。*1
• データが参照可能となっていた経緯（サーバーの設定変更の詳細）は不明。

• パスワードは平文で保存されていた可能性がある。
• 画像設置の行為は改ざんされる1日前から行われていた模様。

更新履歴

• 2019年4月30日 AM 新規作成
• 2019年4月30日 AM 画像を修正（補足書きなど追記）

*1:「ＴＶｅｒ」に不正アクセス、番組画像改ざん,読売新聞,2019年４月29日