〈サイバー攻撃〉　不正ＩＤの攻撃が急増／１７年は最低でも数百万人分の情報が漏洩

　不正に入手したＩＤ・パスワード（ＰＷ）を使った、ＥＣサイトへの攻撃が急増中だ。ＥＣ企業向けにセキュリティーサービスを提供する企業や専門機関は口をそろえて「１７年の後半から、不正なＩＤ・ＰＷを使ったリスト攻撃（※（１）参照）に関する相談件数が増加している」と話す。ＮＴＴドコモは８月１４日、自社ＥＣサイトがリスト攻撃を受けたと発表。大量の不正アクセスを受けた結果、１０００件以上の不正購入の被害が生じたという。個人情報保護委員会が６月末に発表した年次報告によると、同委員会が設立された１７年５月から１８年３月までの１１カ月間だけで、５０００人分以上の個人情報の漏洩事案が６３件報告されている。同期間中に少なく見積もっても数百万人分の個人情報が流出したという。現時点では、大部分のＥＣ企業が、改正割賦販売法の求める「顧客のクレジットカード情報の非保持化」に対応しており、今後ＥＣ企業からカード情報が流出するケースは少なくなっていくとみられている。一方で、不正入手した顧客のＩＤ・ＰＷを悪用した不正アクセス事件は増えていく可能性がある。


■限られる不正防止の選択肢

　サイバー攻撃に詳しい専門家によると、近年、攻撃によって流出した大量のＩＤ・ＰＷを含む個人情報が、海外のダークウェブ（闇サイト）で取引され、別の攻撃者によって利用されるケースが増えているという。
　大手企業など数百社にネットワークセキュリティーに関する助言を行ってきたスプラウト（本社東京都）では、「１７年７月ごろから、他社で漏洩したＩＤ・ＰＷを使った不正アクセスに関する相談件数が増加している」（高野聖玄社長）と話す。家具や家電、チケット、美容機器といった、「高単価で転売しやすい」商材を扱う企業からの問い合わせが多い。実際の被害では、登録されているカードで商品が不正に購入されてしまうケースだけでなく、ＥＣサイトのアカウントにユーザーが貯めていたポイントが使われてしまったというケースも多いという。
　不正アクセスによる購入の被害を防ぐための有効な手段はあるのだろうか。前出の高野氏は「現状では、クレジットカードについて、３Ｄセキュア（※（２）参照）や二要素認証（※（３）参照）など、通常のＰＷ以外の購入時認証の仕組みを設定する方法しか選択肢がない」（同）と話す。ただ、新たなセキュリティーシステムを導入すれば、当然コストがかかる。また、通常のＰＷに加えて別の認証の仕組みを導入することは、”かご落ち”のリスクを高めることにもなる。前出の高野氏は、そうしたコスト・リスクを踏まえつつも、「何より真っ先に、不正アクセス被害発生後の対応コストのことを懸念するべきだ」と話す。

（続きは、「日本ネット経済新聞」８月３０日号で）