「回線を切り替えませんか？」
そんな営業電話に、何気なく出てしまったことはないでしょうか。実は、そのやり取りで聞き出された情報が、不正ログインに使われていたことがわかりました。
インターネット接続サービスなどを提供するハイホーは10月8日、第三者による会員専用サイト「マイページ」への不正ログインが確認されたと発表しました。
その数、3万8509件。人数ではなく契約単位の数字ですが、決して少なくありません。
■ 営業電話で情報を聞き出し、そのまま不正ログイン
今回、注目したいのはその手口です。
ハイホーによると、第三者は光回線などのインターネット接続サービスの利用者に対し、他社サービスへの乗り換えを勧誘する電話をかけていました。
その電話の中で、マイページへのログインに必要な情報を聞き出していたといいます。
そして、入手した情報を使って契約者本人になりすまし、マイページにログイン。氏名や住所、電話番号、メールアドレス、契約情報、請求情報などを閲覧していた、あるいは閲覧した可能性があるとのことです。
つまり、契約者本人から情報を聞き出し、その情報で本人になりすましていたわけです。
なお、一部では電話以外の方法で情報を入手した可能性もあるとしています。
このマイページでは、電話番号・郵便番号・生年月日によるログイン方式が使われていました。いずれも、電話での会話の中で聞かれても、それほど不自然には感じない情報かもしれません。
しかし、そうした情報がログインに利用できるとなれば、話は別です。
今回の事案を受け、同社は不審な通信元からのアクセスを遮断。このログイン方式も廃止し、より安全性の高い認証方式への移行を進めています。
■ 「会社がなくなる」そんな電話にも注意
今回の発表では、利用者への具体的な注意喚起も行われています。
「ハイホーが倒産する」「今の契約は使えなくなる」「自動的に他社へ切り替わる」といった説明のほか、「手続きのためログイン情報を教えてほしい」「会社自体がなくなったので窓口がなくなった」などと言われた場合も、その場で回答せず、いったん電話を切るよう求めています。
不審な相手に情報を伝えてしまった場合には、速やかにパスワードを変更し、登録メールアドレスが勝手に変更されていないか確認することが重要です。
なお、実際に情報を閲覧された、または閲覧された可能性のある利用者については、すでに一部に個別連絡を行っており、対象者全員に書面で案内するとしています。
また、今回の件では、システムへの侵入や脆弱性を悪用したアクセスは確認されていません。金銭被害などの二次被害も現時点では確認されていないということです。
電話の向こうで、相手がどこの誰なのか。本当にその会社の担当者なのか。
少なくとも、かかってきた電話で名乗られた会社名だけを信用して、個人情報を伝えるのは避けた方がよさそうです。
＜出典＞
株式会社ハイホー「重要なお知らせ」