Tier表S流出のおそれ・管理者アカウント不正利用暫定評価
ちとせグループ／ちとせアカデミー事案の概要と評価
管理者アカウント1件の不正利用を確認。最大843人の氏名・メール・プロフィール等に流出のおそれ。会員パスワードの取得は否定。
事案の概要
- 企業・サービス
- ちとせグループ／ちとせアカデミー
- 確認状況
- 流出のおそれ・管理者アカウント不正利用
- 公表日
- 公表された原因
- 委託先Communeへの不正アクセス
経緯と対象情報
ちとせグループは10月9日、Commune上のちとせアカデミーで10月6日に管理者アカウント1件が第三者に不正利用され、7日に通知を受けたと公表しました。流出は推定で、正確な範囲は調査中です。
対象最大843人。氏名、フリガナ、性別、メール、表示名、ユーザー名、アイコン、自己紹介、Xアカウント、登録理由、「腸と心のタイプ診断」の結果、参加日や最終利用日時、投稿等の件数、ポイント、バッジ、所属グループなどが候補です。登録項目は会員ごとに異なります。
会員ログインパスワードの閲覧・取得は否定し、決済情報は保有していないと説明しています。委託先の共通ログイン署名鍵を入手した攻撃者による管理者なりすましと説明。鍵更新・不正アカウント処理・10月6日18時への復元を報告しています。
公表時点で停止中で、10月9日15時ごろの再開は予定です。二次被害は未確認。自動化・AI利用は当事者の推定であり、確認済みの原因とはしません。
対象情報
- メールアドレス流出のおそれ
公表された対象会員のメールアドレス。
- ID・識別子流出のおそれ
表示名・アカウント名等。
- 氏名流出のおそれ
氏名・フリガナ。
被害に遭われた方、心当たりのある方向けの対処法
対象者への案内
再開後は再ログインが必要と案内。不審なURLや添付を開かず、グループ公式告知の問い合わせ窓口で確認してください。
Sとした理由（暫定）
共通署名鍵を用いた当該管理者アカウントの実際の不正利用をS2としてS。会員のパスワード流出ではない。複数組織の共通権限全体は親事案で評価し、当該サイトでの情報取得・操作範囲は調査中のため暫定。
Sの評価基準深い私的情報・本人確認書類画像・有効な認証情報の侵害、それと同等の管理機能・アカウント支配、大規模な連絡先流出、又は主要な提供機能の停止。