« e+のリスト型攻撃の被害の特徴 | トップページ | Ponta Web(リクルートID)にリスト型攻撃? »

2018年9月21日 (金)

リスト型攻撃は本当か、ケイ・オプティコムの情報漏洩の記事への個人的見解

リスト型攻撃は本当か、ケイ・オプティコムの情報漏洩 | 日経 xTECH(クロステック)
https://tech.nikkeibp.co.jp/atcl/nxt/column/18/00001/01042/

要略すると初期IDにはケイ・オプティコムから割り振られた12桁の数字が使われているはずなのでリスト型攻撃ではなくリバースブルートフォース攻撃ではないか?という内容です。

実際にどのような攻撃がおこなわれたかわからず推測が入りますのでご了承を。

まず、ケイ・オプティコムのサービスにはeo光のような有線でのサービスと電話回線を利用したmineoのサービスと大きく分けると2つありますが、この時の被害で目立ったのはmineoユーザーだったというのがポイントです。

eo光での回線開通時の書類はこちらにサンプルがあります。

eoIDを利用したことがない方|eoユーザーサポート
https://support.eonet.jp/inquiry/eoid/no_use.html

たしかに12桁の数字が割り振られていてユーザー自ら変更しない限りそのままのはずです。パスワードを使い回しているユーザーがわざわざ初期IDや初期パスワードを変更するだろうか?というのはもっともです。

ですがmineoは少し違いこちらの4月に公開されたブログにあるように自分でeoIDとパスワードを登録して初期IDや初期パスワードとして利用する事になるようです。

mineo(マイネオ)のeoIDって何?何に使えるの? - SIMチェンジ
https://simchange.jp/mineo-id-password/

今日調べてみても同じ画面が表示されます。

お申し込みの流れ|mineo(マイネオ)
https://mineo.jp/apply/

Mineo

このように調べた限りではmineoユーザーはリスト型攻撃を受けるリスクはあったと判断できます。メールアドレスの@より後を省略してIDとして利用していた場合や他のサイトなどでニックネームやユーザーネームとして登録していたような名前をeoIDに利用していた場合は他のサイトから流出した情報からリスト型攻撃を受けてもおかしくないという状況はそろっていたと思われますのでケイ・オプティコムの発表に矛盾点があるとも思えません。

実際にどのような攻撃が行われたかはわからないのであくまでも推測ですけどね。

« e+のリスト型攻撃の被害の特徴 | トップページ | Ponta Web(リクルートID)にリスト型攻撃? »

情報セキュリティ」カテゴリの記事

コメント

コメントを書く

コメントは記事投稿者が公開するまで表示されません。

(ウェブ上には掲載しません)

« e+のリスト型攻撃の被害の特徴 | トップページ | Ponta Web(リクルートID)にリスト型攻撃? »