スタディサプリの「仕様不備」突く不正アクセス　ユーザーのメアド3687件を第三者が特定か

　リクルートは10月3日、オンライン学習サービス「スタディサプリ」で、第三者がシステムの仕様不備を突き、特定のメールアドレスが登録されているかどうかを確認できた可能性があると発表した。

　3687件のメールアドレスについて、スタディサプリに登録されていると、第三者が特定した可能性がある。対象のユーザーには、スタサプやリクルートを装うフィッシングメールに注意が必要だ。

　不正アクセスは9月30日に判明。対象は小学講座、中学講座、高校講座・大学受験講座の登録ユーザーのメールアドレスだ。発覚後ただちに当該機能を改修し、9月30日時点で修正を終えた他、緊急セキュリティ点検を実施し、監視体制も強化したという。

　同サービスは「アカウント列挙」と呼ばれる攻撃を受けたとみられる。サービスが登録済みと未登録のメールアドレスで異なる反応を返すと、攻撃者は大量のアドレスを試し、登録されているものを確かめられる。登録を確認したアドレスは、標的型のフィッシングメールなどに悪用されるおそれがある。

　同社は、スタディサプリをかたったフィッシングメールなどの二次被害が発生する可能性があるとして注意を呼びかけている。スタディサプリやリクルートを装った不審なメールが届いても、記載されたURLにアクセスせず、パスワードや認証コードなどを入力しないよう求めている。

　第三者が特定した可能性のあるメールアドレスの利用者には個別に連絡した。スタディサプリを利用する学校・自治体にも、該当する利用者がいる場合は個別に伝えている。

この記事の著者

関連記事

• 

  「焼肉きんぐ」個人情報約1079万件が漏えい　公式アプリのシステムに不正アクセス　ほぼ全会員分に相当

• 

  大阪公立大の大規模システム障害、サイバー攻撃が原因か　13万人超の個人情報流出恐れ

• 

  大和証券、22万件情報漏えいか　顧客約11万人の口座番号も

• 

  日経社員のGoogle Workspaceに不正ログイン　1646人分の個人情報漏えいか

• 

  ホワイトエッセンス、約105万アカウントの個人情報流出　8月発表の不正アクセス調査で判明