ICT教育アプリの開発環境に不正アクセス、国内外ユーザー12.7万件の個人情報流出

– 10月18日(日本時間)、カシオ計算機より、同社が運営する教育用アプリ「ClassPad.net」の開発環境が不正アクセスを受け、個人情報等が流出したと発表されました。

– 被害を受けたのは、国内ユーザー91,921件(個人と1,108の教育機関)・海外ユーザー35,049件(148ヶ国・地域)の氏名・メールアドレス・国と地域・学校名・学年・学級名・出席番号(学籍番号)・購買に関する情報・サービス利用履歴およびニックネームで、総アカウント数の約7割分とされています(クレジットカード情報は保持していないとのことです)。

– 10月11日に開発環境上のデータベースにおいて障害が発生していたのをきっかけに不正アクセスが発覚したとしており、攻撃を受けた原因については運用管理上の問題でネットワークセキュリティ設定の一部が解除されていたためとしています。

– 10月25日(日本時間)、JPCERT/CCより、7月上旬に日本国内でドメイン名の不正移管事例が発生したとして注意喚起が出されています。

– 攻撃者はドメイン名レジストラーのフィッシングサイトを検索エンジンの広告に表示させ、ドメイン名管理者を誘導、入力されたアカウント情報で不正ログイン、登録メールアドレスの変更とドメイン移管ロックの解除を行い、移管手続きを行ったとしています。

– JPCERT/CCでは、フィッシングの回避策として「検索サイトで表示されたリンクが正しいものと断定せず、確認済みの公式アプリや、WebブラウザーにブックマークしていたURLからアクセスする」、また外部から不正にログインされないよう「サイトの提供するセキュリティ機能（2段階認証など）を活用する」「簡単なパスワードや、同じパスワードの使いまわしを避ける」ことを推奨しています。