piyolog

piyokangoの備忘録です。セキュリティの出来事を中心にまとめています。このサイトはGoogle Analyticsを利用しています。

ニンテンドーアカウントを狙った不正ログインについてまとめてみた

2020年4月24日、任天堂は自社のアカウントサービス「ニンテンドーネットワークID」が不正ログインの被害を受けたと発表しました。ここでは関連する情報をまとめます。
www.nintendo.co.jp

Wii U、3DS向けのアカウントサービス通じ発生

任天堂は不正ログインの事象として次の内容を報告している。

  • ニンテンドーネットワークIDに対しなりすましログインと思われる事象が発生
  • ニンテンドーネットワークID経由で一部ニンテンドーアカウントに不正ログインされる事象が発生
  • ニンテンドーネットワークIDはWii Uやニンテンドー3DS向けに提供されるサービス。Nintendo Switchでは使用しない。
かんたんログインが悪用されたか

任天堂は同日付でニンテンドーネットワークID経由でニンテンドーアカウントにログインする機能を廃止したと発表

  • ニンテンドーアカウントには他サービスと連携することでログインできる「かんたんログイン」機能が存在
  • かんたんログインで連携できる対象には今回被害が確認されたニンテンドーネットワークIDも含まれていた。(現在のログイン画面上には存在しない)
  • 発表での具体名の言及はないが「ニンテンドーネットワークID経由」とあることからかんたんログイン機能が悪用された可能性がある。

f:id:piyokango:20200425064402p:plain
以前はニンテンドーネットワークIDを使ってログインできた(アーカイブより)

SNSへの報告等、一部未確認情報を含めたもの(?の箇所)は以下の通り。

f:id:piyokango:20200425095219p:plain
不正ログイン概要

不正購入は個別調査で対応

  • 任天堂は不正ログインを受けた可能性があるニンテンドーネットワークIDが約16万件と発表。
  • 以下の情報が閲覧された可能性がある。
ニンテンドーネットワークID ニックネーム、生年月日、国/地域、メールアドレス
ニンテンドーアカウント(連携時) おなまえ、生年月日、性別、国/地域、メールアドレス

閲覧された情報の内、クレジットカード情報は含まれないと発表されている。もしニンテンドーアカウントの情報を閲覧されていた場合は一部情報が確認可能だった。

f:id:piyokango:20200425070627p:plain
ニンテンドーアカウントではクレカ情報登録後に下4桁、カードブランド、有効期限が確認できた

Twitter等で複数報告されていた不正購入の被害発生は直接言及されていないが、任天堂は個別調査の上購入取り消し等を行うと説明。

f:id:piyokango:20200425065856p:plain
ニンテンドーアカウントでの購入確認画面。クレカやPaypayで支払いが可能。

なお、4月25日時点でかんたんログイン後に購入を行おうとした場合はパスワードが求められる。(これが元々の実装だったのか、ニンテンドーネットワークIDでも同様だったのかは不明)

f:id:piyokango:20200425065716p:plain
購入をしようとしたらパスワード入力が求められた

3月頃から発生?

更新履歴

  • 2020年4月25日 AM 新規作成