同人向けSNS等に不正アクセス、アカウント情報等流出…パスワード使い回しの場合は変更を

同16日にはアカウント情報を奪取したとみられる人物が攻撃者フォーラムに投稿を行ったという情報があり、パスワード情報はMD5による単純なハッシュ化がされており、多くが元のパスワードを割り出せていたとの証言があった模様です。

流出したID(メールアドレス)とパスワード情報で他のWebサービスへの不正ログインを行う攻撃は既にメジャーな手法であり、今回の発表を受けてPixiv等同種のWebサービスでもパスワードの使い回しをしていないか確認するよう呼び掛けています。

Twitterアカウントの乗っ取りによるとみられる不正な投稿も多数発生しており、Twitterのパスワードの確認はもちろん、TwitterにてpictBLand・pictSQUAREと連携を行っていた場合にそれを悪用される恐れがあるため、連携を解除することを強く推奨致します。

また、Webサービスあるいは各種サーバーの管理においてパスワードを保存する場合も、パスワードそのものを平文で保存するのは論外として、ソルト(ランダムな文字列を付加してからハッシュ化)やストレッチング(ハッシュ化を複数回行う)といったハッシュ化された文字列が奪取された場合にもパスワードの割り出しまでに時間がかかるようにする保存手法をとることが推奨されていますが、そういった手法を独自に実装することはせず、既成のソフトウェアを使用することが肝要です。

同社では7月11日に他の機種で類似した脆弱性に対するセキュリティアップデートをリリースしており、今回の発表は同様の脆弱性がサポート切れの機種にも存在することについてのものとみられます。

「ELECCOM」「Logitec」各ブランドの機器を使用しているユーザー・組織においては、前述した二度の発表情報を速やかに参照し、対象となる機器・セキュリティアップデートの有無を確認の上、適宜対応を行うようにしてください。

今回対象となる機器には筐体から品番が確認できない機種も多く、組織内の機器管理の際は品番・形状・設置場所等を詳細に記録することが、サポートが終了したり年数が経過したりした機器を計画的に更新する体制の一助となることでしょう。