『クラブニンテンドー登録者情報の漏洩について』 の クチコミ掲示板

[アルバラン]

任天堂が管理しているクラブニンテンドーにおいて、1ヶ月ほど前から不正ログインが多発していたそうです

不正ログインが確認された期間：6月9日から7月4日

不正ログイン件数：23,926件（試行回数：15,457,485回）

参照された可能性のあるお客様情報：氏名、住所、電話番号、メールアドレス

「クラブニンテンドー」サイトへの不正ログイン発生のご報告とパスワード変更のお願い
http://www.nintendo.co.jp/support/information/2013/0705.html

個人情報が漏れていますので、ご自身のアカウント（登録情報）を確認した方がよさそうです

書込番号：16333478

[アルバラン]

公式HPに下記のように記載されています
個人情報が漏洩したアカウントに関しては、ログインできなくなっているそうです

また、本日15時時点で任天堂より登録してあるメールアドレスへ連絡が届いた方が対象となるようです
朗詠していなくても、念のため、パスワードは変更しておいた方が無難だと思います

1. 経緯および被害状況
本日7月5日15時、不正ログインが行われたID・パスワードを利用したログインができない措置をし、該当するお客様にメールを送信しました。

2. 対策
セキュリティーの強化および監視レベルを強化し、不正ログインが行われたID・パスワードを利用したログインができない措置をいたしました。

書込番号：16333497

[kizna]

私も対象でしたわm(。≧Д≦。)m
以前、プレゼンテーションの中で「わが社は十分なセキュリティがある」と話されておりましたが、ネットワークサービスの内容はひと昔のレベルですので、他サービスも含めて早急に改善と定期的に更新をして欲しいですわ。

書込番号：16335490　スマートフォンサイトからの書き込み

[AVAL]

>この度、弊社が運営する会員サイト「クラブニンテンドー」におきまして、他社サービスから流出したと思われるID・パスワードを使用し23,926件の不正なログインが行われたことが判明しました。

http://www.nintendo.co.jp/support/information/2013/0705.html

との事ですので、セキュリティの改善云々というよりも利用するユーザー側の意識が変わらないとなかなか防げない事例ですね

kizna様はIDを他サービスから流用してたんですか？

書込番号：16336031

[参番艦]

今回の件は他社サービスから流出したID・パスワードが使われているらしいから任天堂のせいとばかりはいえないかと。
自分は普通にクラニンにアクセス出来たので他社サービスでの流出はなかったようです。

書込番号：16336058

[kizna]

クラブニンテンドーのみで利用している新規IDとパスワードですわ(。>д<)
情報漏洩した会社さんの案内をそのまま信用するのは別の意味で危ないと思いますの。
そもそも他サービスのアカウントを流用される方っているのかしら。

書込番号：16336577　スマートフォンサイトからの書き込み

[AVAL]

>クラブニンテンドーのみで利用している新規IDとパスワードですわ(。>д<)

そうなると別の誰かとID被りで試行されたという事なんでしょうかね

>情報漏洩した会社さんの案内をそのまま信用するのは別の意味で危ないと思いますの。

流石にそれでは話が成り立たなくなりますよ、現状ではセキュリティそのものは破られていないんですから

>そもそも他サービスのアカウントを流用される方っているのかしら。

それが不正ログイン件数の23,926件のようですね

書込番号：16336720

[AVAL]

う〜ん、アルバランさんの説明だと微妙に情報が足りなくてリンク先の元ソースとは印象が変わりますね
とりあえず全文載せておきますか


「クラブニンテンドー」サイトへの不正ログイン発生のご報告とパスワード変更のお願い

日頃は弊社商品をご愛顧賜りまして、誠にありがとうございます。
この度、弊社が運営する会員サイト「クラブニンテンドー」におきまして、他社サービスから流出したと思われるID・パスワードを使用し23,926件の不正なログインが行われたことが判明しました。
現在は、不正ログインが行われたID・パスワードを利用したログインができない措置をし、該当するお客様には弊社より個別に連絡のうえ、パスワード再設定のお願いをしております。
なお、詳細な経緯、被害状況等は次のとおりです。



1. 経緯および被害状況

7月2日夜、大量のアクセスエラーが発生しているのを確認し調査を開始しました。

不正ログインが確認された期間：6月9日から7月4日

不正ログイン件数：23,926件（試行回数：15,457,485回）

参照された可能性のあるお客様情報：氏名、住所、電話番号、メールアドレス

※個人情報等の改ざん、クラブニンテンドーポイントの不正使用は確認されておりません。

※クラブニンテンドーではクレジットカード情報はお預かりしておりません。
本日7月5日15時、不正ログインが行われたID・パスワードを利用したログインができない措置をし、該当するお客様にメールを送信しました。


2. 対策

セキュリティーの強化および監視レベルを強化し、不正ログインが行われたID・パスワードを利用したログインができない措置をいたしました。


3. パスワード変更のお願い

今回の不正ログインは他社サービスから流出したと思われるID・パスワードが使用されております。他社サービスと同一のパスワードをお使いのクラブニンテンドー会員様は、別のパスワードを設定いただきますようお願いいたします。

書込番号：16336840

[アルバラン]

不正ログインが確認された期間：6月9日から7月4日
不正ログイン件数：23,926件（試行回数：15,457,485回）

約1ヶ月の間に1500万回もの不正アクセスを受けていたわけですよ
その中で、パスワードが突破されたユーザが2.3万人
クラブニンテンドーにはポイント交換で商品がもらえるため、偽名での登録ではなく
個人及び家族の情報が必要になります
１つのアカウントから家族全員の個人情報が盗まれた事になります

パスワードを突破されたユーザに関しては、任天堂だけに非があるとはいえませんし
むしろ個人（ユーザ側）の問題だと言い切ってもよいと思います

しかしながら、何故1500万回もの不正アクセスを1ヶ月以上放置したのかは理解できません

発覚したのが攻撃が始まって約1ヶ月後の7/2と説明されています
（7/2に発覚し7/4に不正アクセスされた会員への連絡を行っているそうです）

また、不正アクセスされたユーザのみに周知を行い、
他のユーザに関してはパスワードの変更についての連絡も怠っています

不正アクセスを受けた事を批判するつもりはありませんが、
発覚までの期間とその後の対応については、疑問しか残りませんね

書込番号：16337238

[杉崎ゆきる]

インターネット(ブラウザアクセス)も許可しているサービスの場合、プログラムで「ID」と「パスワード」を変更して何度もログイン試行するのが一般的な方法の一つですね。
これらを防ぐ為、接続元を限定したり、一定時間内に連続で失敗するとロックをかけたり(それとあわせてパスワードを変更する)事も一般的なのですが、今回の件から解る様に任天堂はシステム側で対応できていませんね。
今回も試行回数からこういった方法が行われた事が想像できますが、「他社サービスから流出したと思われるID・パスワードを使用」と案内している時点で「自分は悪くない」と苦し紛れの言い逃れしているので印象が良くないですね。
そもそも「他社サービス」まで解っているのに、不正アクセスされた方に対象のサービスを案内しない時点でかなり怪しいと思います。

> 個人（ユーザ側）の問題だと言い切ってもよいと思います

前述した様な一般的な不正アクセス方法も行われていると思いますので、システムを構築した任天堂にも非はあるのではないでしょうか。

> しかしながら、何故1500万回もの不正アクセスを1ヶ月以上放置したのかは理解できません

こちらは同意です。
恐らく被害を受けたユーザーの申告を元に調査したのだと思いますが、システムが対策されていない状態ですので調査期間が短すぎます。
kiznaさんも書かれていますが、不正アクセスの案内メールが届いていない方も他で利用していないパスワードに変更しておいた方が良いと思いますよ(^o^)

書込番号：16337332

[AVAL]

>しかしながら、何故1500万回もの不正アクセスを1ヶ月以上放置したのかは理解できません

アルバランさんが引用しなかった
>>7月2日夜、大量のアクセスエラーが発生しているのを確認し調査を開始しました。
の部分を普通に読み解けば、2日までは通常のログインミスと判別が難しい程度の試行で2日夜に1500万回の多くを占める不正アクセスがあったと読めないでしょうか？
1. 経緯および被害状況の説明の順番からも

書込番号：16337488

[杉崎ゆきる]

おはようございます。

AVALさんが転記した「案内全文」を10回ほど見直しましたが、どこにも「2日夜に1500万回の多くを占める不正アクセスがあった」という記載はありませんでしたよ(笑)
記載されていない内容まで考えるのでしたら、不正アクセスに気付く為の「閾値」が低すぎて、気付けなかったとも読み取れます。
どちらにせよ「人が気付いて対処している」時点でセキュリティレベルの程度も解ってしまいますね。

書込番号：16339138

[マジシャンズレッド]

任天堂は技術レベルが低いからこういうことが起きるんだろうな
任天堂信者さんもダンマリですね

書込番号：16348619

[耀騎]

一昨年のPSネットワークの時も似たようなカキコミがありましたけれど、害に遇われている方が居られるというのにどぅしてこんな↑云い方しか出来ないのでしょう。
何か恨みでもあるのですか？

そうは申しましても、ID＆パスワードの使い廻しにリスクがあることは周知のことかもしれませんが、然もそれが原因のように表現されるのは気分良いものではありませんね。
実状はどぅあれ一昨年に他人事のような顔をしていた某CEOにも呆れましたが、異常事態を1ヶ月近く放置したことに反省の色も見せず責任回避を図るような企業にも呆れます。
ゲーム機のプラットフォームホルダーって、メーカーであると同時にサービス業でもあるはずなのですけれどね！

書込番号：16349247

[アルバラン]

AVALさんのお話では
>2日夜に1500万回の多くを占める不正アクセスがあったと読めないでしょうか？

それでは、一晩に1500万回もの不正アクセスを受けながら、情報を垂れ流しにしたという事ですよね
1500万回ものアクセスを許す前に、弾く事すらできないようなセキュリティなのでしょうか
これが事実だとすれば、セキュリティに関する意識が低すぎます


私は杉崎ゆきるさんが仰るように、1晩に1500万回もの不正アクセスを許したとは読み取れませんでした

不正アクセスの行われたのが6/9
発覚したのが7/2

もしかして、アクセス監視を1ヶ月単位で行っているのではないでしょうか？

そう考えると、7/2の前回が6/2に実施された事になり、不正アクセスの開始日が6/9なので7月に入るまで発覚しなかったと考えられます
（6/1に監視したのち、7/1まで一切監視を行っていない）

時系列で纏めると
6/1　5月分のアクセスログを抽出
6/2　アクセスログの解析　←　問題なし
6/9　不正アクセス開始
　〜
　〜　アクセス監視を行っていないため、情報漏えい中
　〜　※この1ヶ月の間に1500万回の不正アクセスがあったと読み取っています
　〜
7/1　6月分のアクセスログを抽出　←　ここで6月に発生した不正アクセスの情報を入手
7/2　アクセスログの解析　←　不正アクセスが行われていた事が発覚
7/4　その後も不正アクセスが行われていないか調査
7/5　不正アクセスを公表

まぁ、1晩に1500万回でも、1ヶ月に1500万回でも、どちらも企業としては酷いですね

満足な知識も技術も無いまま、オンライン事業に手を出した結果でしょう

3DSのソフトを買ってなかったらクラブニンテンドーHPを見ることも無かったので、不幸中の幸いでしたが
未だに不正アクセスされた事を知らない人が多そうです

登録者のメールアドレスは分かっているのですから、パスワードの変更依頼メールぐらい通知してもらいたいです

書込番号：16349979

[AVAL]

>もしかして、アクセス監視を1ヶ月単位で行っているのではないでしょうか？

それだったら「7月2日夜」という表現を使わないんじゃないですか？通常業務であれば普通は昼に行いそうなものですけど

あと他社が云々は不毛なんであまり言いたくなかったんですけど、この手のリスト型アカウントハックはMSやSONYも被害にあってるんですが両社とも満足な知識も技術無い企業という事でいいんですか？
ちなみにSONYはPSN含め系列サービス合わせて被害9万強で試行回数は公表無し、HPに告知と被害アカウント利用者のみにメール連絡って対処でしたよ

クラニン自体一つのIDに対して複数回アクセス試みて失敗すると一定期間ログイン不可になりますけど、ID自体を変えるリスト型アカウントハックに対してはどうしてもセキュリティ強度が落ちますね
コールバックやトークン導入すればセキュリティは強固になりますけど、利便性に難が出てきますからねぇ

この手のリスト型の場合は企業云々よりも利用者のセキュリティ意識の方が重要だと思うんですけど

書込番号：16350595

[アルバラン]

>それだったら「7月2日夜」という表現を使わないんじゃないですか？通常業務であれば普通は昼に行いそうなものですけど
通常教務である「アクセスログの取得」は日中に行ったと思いますよ
そこから、怪しいアクセス履歴があったので、不正アクセスと断定できたのが「7月2日夜」なのでしょう

それとも、任天堂は不正アクセスを受けていても日中帯しか仕事しないのでしょうか？
それが事実ならば、糞企業ですね


>この手のリスト型アカウントハックはMSやSONYも被害にあってるんですが両社とも満足な知識も技術無い企業という事でいいんですか？
被害に合うという事は、犯罪者がいるわけで、犯罪者が悪という認識です

そもそも、発覚までに1ヶ月を要した事と、その後の会員への周知を怠っている事を問題視しているのです
被害を受けた企業が「満足な知識も技術無い企業」とは言っていません

また、他社の方が発覚が遅かったなど、意味の無い議論は不毛です


>クラニン自体一つのIDに対して複数回アクセス試みて失敗すると一定期間ログイン不可になります
15000万回のアクセスを解析できた事から、同じパソコンから不正アクセスを行った事が伺えます
同じIDに対して、複数回のアクセスが拒否できても、
同じパソコンから1500万回の不正アクセスを拒否できない理由にはなりません

何処まで被害者に責務を押し付けてバカにしたら気が済むのですか？
被害を受けたのは個人でもあり任天堂でもあるというのは、最初から申しています

何度も言いますが、被害者のみに「個人情報が盗まれました」を通知するのではなく
予防策として全会員に「パスワードの変更をしてください」という周知をすべきと言っているのです

書込番号：16352646

[アルバラン]

議論するのもバカらしいので、「被害者がバカなだけ」ならそれでいいです

少なくともクラブニンテンドーの登録者全員に
「パスワード変更してください」のメールは出してもらいたいという気持ちは変わりません

このスレをみて、パスワード変更してくれた人がいる事を願います

書込番号：16352680

[AVAL]

1億5千回とか教務とか色々間違えて書き込んでいますから少し落ち着きましょうよ

書込番号：16352746

[AVAL]

おっと自分もタイプミスしてますな

>通常教務である「アクセスログの取得」は日中に行ったと思いますよ
>そこから、怪しいアクセス履歴があったので、不正アクセスと断定できたのが「7月2日夜」なのでしょう

昼にログ取得して夜に断定ってそんなアホな
そんなに時間がかかる大量のデータを月1でしか調査しないとか流石にそれは不自然でしょ
クラニンというか任天堂の場合初週ミリオンのタイトルもありますから、ログインミスが不正と判断出来るレベルになったのが2日夜と解釈するのが一番自然ですよ

>被害を受けた企業が「満足な知識も技術無い企業」とは言っていません

おーい、言ってる言ってる
>>まぁ、1晩に1500万回でも、1ヶ月に1500万回でも、どちらも企業としては酷いですね
>>満足な知識も技術も無いまま、オンライン事業に手を出した結果でしょう
だからSONY等の他の企業もほぼ同じ対応な上に被害数は上だったんだけど？て聞いているんですよ
ちなみにこの手のリスト型は国内大手のSCE、スクエニ、カプコン、コナミ、セガ、ついでにガンホー等ほとんど被害に遭ってますし、海外でもMSや先日UBIがやられたばかりです

>何処まで被害者に責務を押し付けてバカにしたら気が済むのですか？

実際他のオンラインサービスとID&PASSを同じにしないってのはセキュリティとして当たり前の事ですよね？
今回の実際に不正ログインされた人達はそれを怠っていたわけですから、その辺りが改善出来ない場合は利便性を犠牲にしてトークンの導入でワンタイムパスワードや、コールバック形式でメールアドレスや電話にキーを送る方法もありますが面倒で不便ですよ？
それにコールバック形式でも登録メアドで流用してたら防げませんしね

書込番号：16352998

[みちゃ夫]

http://internet.watch.impress.co.jp/docs/news/20130710_607096.html

楽天はもっとだめだめですね（笑）。

書込番号：16354325

[kalokalo]

現状、ユーザーがIDとパスワードを適切に設定、管理することが前提になっているので
これが崩れるとセキュリティは甘くなります。
秘密の質問などさらに何個か追加しているところも有りますが、そうすると利便性が
損なわれますし。(利用率が下がるという結果も出てるそうです。)

また1500万回と言うのは日常ではあまり出てこない大きな数字ですがネットではそれほど
大きな数字ではないでしょう。しかも1ヶ月ですし。
（ちょっと意味合いは違いますが価格.comの総ページビューは一月で10億とか20億とかです。）

さらに今回の不正アクセスは結果はそうですが、操作自体はIDとパスワードを入れてログイン
しようとする通常の操作です。(一つのIDに対し一つのパスワード)
アクセスする方も工夫しているでしょうし、中々見分けるのは難しいと思います。
色々とはじく閾値を設ければと思いますが、巻き添えとなる人が出てきてしまいます。
間違って入力する人とか、高頻度でアクセスする人(更新情報取得等)って結構いますし。
セキュリティのためにそういう人に我慢してもらうって考えも有ると思いますが、現状は
あまりそうなっていないです。

IDやパスワードは使い回ししない、パスワードは利用できるすべての文字種(英数記号、大文字小文字)
を使用して意味のない文字列にする、ある程度の期間で変更する、流出させないなどの基本ルールを
守りましょう！って事ですね。

今回の話は任天堂、またスレ中にMS、SONY、楽天の話も出ていますが他のサイト(特に大手)も
確実に攻撃されているでしょう。
何も発表がないのは気付いていないか実被害がないので黙っているかなどだと思います。

書込番号：16354411

[スーパーたかつ]

うわ。俺やばいかも。

書込番号：16373795　スマートフォンサイトからの書き込み

[ユベル]

>アルバランさん

絡んで来た相手が残念過ぎますね。

論戦上等！徹底抗戦！が、ウリの方なので。
プロフィールの異常な閲覧回数を見ても、それは明らかで。

かつて、
「投稿者様の書き込みから察するに、高級志向が伺えます。」
「ですので、360のエリートを強くお勧め致します。」

こんな事を言ってる人だからスルースルー。

書込番号：16396609