「〇〇様の情報流出を確認しました。ご利用中のアプリからパスワードを変更してください。A,B,C（パスワード変更を促す項目）の個人情報流出が確認され、D,E（免許証等の本人確認書類など、利用者がA,B,Cより重大な情報だと感じやすい項目）の個人情報流出は確認されていません。スパムメールと判断されないよう、URLは記載していません。」
このようなメールが、実際には情報流出が起きていないのに届いたら、どうすればよいでしょうか。
- URLがないため、偽サイトへ誘導する一般的なフィッシングメールとは違って見えるかもしれません
- また、「公式アプリからパスワードを変更してください」という案内だけなら、不正利用につながるようには見えないと思う人もいるでしょう
- 文章的には「流出した情報」「流出していない情報」の内訳を明記してくれています
- 真偽は不明ですが、本人確認書類の流出が確認されていないのは、少しだけ安心できる要素に感じるかもしれません
しかし、URLがないことや、案内された操作が公式アプリ上で行われること、漏洩非漏洩の内訳の明記だけで、メールに悪意がないとは判断できません。
偽の通知を繰り返す狙いも考えられる
攻撃者が複数の会社やサービスを装い、偽の流出通知を繰り返し送るシナリオが考えられます。
受信者がそのたびに公式アプリを開いてパスワードを変更していると、次第に対応が負担になる可能性があります。その結果、たとえば次のようなことが起こり得ます。
- 通知を面倒に感じ、あとで確認しようとして放置する
- 本物の流出通知まで「また偽物だろう」と無視する
- 変更を急ぐあまり、覚えやすい弱いパスワードを設定する
- 複数のサービスで同じパスワードを使い回す
- 通知の真偽を確かめず、メールに書かれた手順に従う
これは、警告への慣れや疲れを利用しようとする攻撃の一例として想定できます。ただし、このようなメールが広く確認された一般的な手口だと断定するものではありません。メールの目的も、文面だけでは特定できません。返信や電話で情報を聞き出すなど、別の狙いがある可能性もあります。
URLがなくても、無条件にパスワードを変える必要はない
メールにURLが書かれていなくても、差出人名や文面が本物だとは限りません。反対に、URLがないことだけで攻撃だと断定することもできません。
メールだけを根拠に、すぐパスワードを変更するのではなく、対象サービスの公式アプリや、普段から使っているブックマークから自分でアクセスし、公式のお知らせやアカウントの通知を確認しましょう。
メールに記載された連絡先や、検索結果に表示された広告からアクセスするのも避けてください。
公式のお知らせが見つからなくても、それだけで情報流出がなかったとは判断できません。発表や個別通知がまだ行われていない場合もあります。不安が残る場合は、メールに記載された連絡先ではなく、公式サイトに掲載された問い合わせ窓口から確認しましょう。
サービスから流出が公表され、自分のアカウントが影響を受けたと確認できた場合は、公式手順に従ってパスワードを変更します。同じパスワードをほかのサービスでも使っている場合は、それぞれ別のパスワードに変更してください。
根拠のない通知に反応して、何度も変更する必要はない
根拠のない通知を受け取るたびに、パスワードを変更する必要はありません。定期的な変更を一律に求める運用は、以前のパスワードに少しだけ手を加えるなど、弱い選び方につながることがあります。
NIST（米国国立標準技術研究所）のデジタル認証ガイドラインでは、定期的なパスワード変更を一律に求めず、認証情報が侵害された証拠がある場合には変更を求める考え方が示されています。
Verifiers and CSPs SHALL NOT require subscribers to change passwords periodically. However, verifiers SHALL force a change if there is evidence that the authenticator has been compromised.
出典：NIST SP 800-63B-4, Authenticator Events
「念のため何度も変える」よりも、公式経路で影響を確認し、必要なときに変更することが大切です。
受け取ったときの確認方法
- メール内のリンクや連絡先を使わず、公式アプリまたはブックマークからサービスを開く
- 公式のお知らせやアカウント通知を確認する
- 流出や自分への影響が確認できた場合は、公式手順でパスワードを変更する
- 同じパスワードを使い回していたサービスも、それぞれ別のものにする
- 利用できるサービスでは、多要素認証を有効にする
「パスワードを変更してください」というメールが届いたこと自体は、情報流出の証拠ではありません。
急いで何度も変更する前に、公式アプリなど自分で確認できる経路から事実を確かめましょう。
多要素認証を使うと、パスワードが知られた場合でも、第三者がアカウントに侵入しにくくなります。ただし、多要素認証だけですべての攻撃を防げるわけではないため、公式経路での確認も続けましょう。
情報流出の通知に疲れてしまう可能性
- 情報流出に関する報道が増えている
- 企業は、調査で確認できた事実を発信している
- 一方で、個人情報を得た攻撃者が、「〇〇様の情報漏えいは確認されませんでした」と偽るケースも考えられる
- 反対に、実際には流出していないのに「情報が流出しました」と偽り、パスワード変更を促すケースも考えられる
- その際、メールにURLを載せず、「スパムと思われないようURLは記載していません」「流出非流出の内訳は...」「公式アプリから操作してください」と案内することで、信憑性を高めようとする可能性もある
- メール1通だけではなく、複数のサービスで1通ずつ装う
上記は一部楽観的な例え話ですが、流出の有無について相反する偽の通知まで届くような状況が続けば、利用者は何を信じればよいのか迷い、通知や情報の確認に疲れてしまう可能性があります。