ソースネクスト、パスワードなぜ平文で流出　「暗号化していたが、鍵にアクセスできるシステムに侵入された」

　ソースネクストの会員情報取得APIが不正アクセスを受け、最大約2252万件の氏名や住所、パスワードなどが漏えいした問題をめぐり、一部で「パスワードは平文で保存されていたのではないか」との見方が出ている。

　同社の広報担当者はITmedia NEWSの取材に対して、「パスワードは暗号化して保存していた」と述べる一方、「暗号化されたパスワードを復号するための鍵にアクセス可能なシステム（API）に対して、不正アクセスが行われた」と説明。

　「復号鍵そのものは流出していないが、パスワードが復号された状態で外部に流出したことを確認している」とし、攻撃者が平文でパスワードを取得していたことを認めた。

「システムの開発時期が古く、最新のハッシュ化方式へ移行できていなかった」

　パスワードをハッシュ化していなかった理由は、「当該システムは開発時期が古く、当時採用した暗号化方式を継続して使用していた。結果として、最新のハッシュ化方式への移行ができていなかった」と説明。具体的な開発時期は明らかにしなかった。

　同社は全顧客のパスワードを強制リセットし、顧客に再設定を求めている。再設定後のパスワードの管理方法（ハッシュ化の有無）についても尋ねたが、「具体的な管理方式や今後の対応の詳細は、システムのセキュリティ確保の観点から、回答を差し控える」と述べた。

対策の詳細は明かさず

　不正アクセスを受けた会員情報取得APIの役割を同社に尋ねたところ、「個別の実装の詳細は、新たな攻撃を助長するおそれがあるため、回答を控える」と述べるにとどめた。

　一部メディアに対して同社は、APIの戻り値にパスワードを含めていた理由について「ライセンス管理システムとの連携など、パスワードが必要な作業で使うため」と回答したという（参照：Yahoo!ニュース／山口健太氏のの記事）。

　この内容を同社にただしたところ、「当社が確認を経てお伝えした正式な回答とは異なるもの」と述べる一方で、「APIの具体的な利用目的やシステム間の連携状況は現在、関係機関による捜査・調査に協力していることから、詳細な回答を差し控える」とし、どの部分が「正式な回答と異なる」かは説明しなかった。

　また「今回の事案を受け、必要なセキュリティ対策はすでに実施している」というが、「具体的な対策内容の開示が新たな不正アクセスを助長するおそれもある」とし、対策の詳細は明かさなかった。

この記事の著者

関連記事

• 

  「パスワード平文保存って何か問題あるんですの？」　ITお嬢様と学ぶハッシュ化

• 

  「セキュリティソフトも売ってるのに」ソースネクスト会員情報漏えい、パスワード含む最大2252万件　API不正利用される

• 

  ソースネクスト、最大で個人情報12万人分、カード情報11万人分漏えいの可能性　不正アクセス受け

• 

  ドコモとソフトバンク、パスワードをハッシュ化せず保持　「パスワードを忘れた」からユーザーへ開示【追記あり】