【３万人流出】クロネコメンバーズにパスワードリスト攻撃、顧客アカウント3,467件に不正ログイン発生

ヤマト運輸株式会社は2019年7月24日、同社ウェブサービス「クロネコメンバーズ」の顧客アカウント3,467件に、特定のIPから不正ログインが確認されたと明らかにしました。
異常を検知した同社が調査を進めたところ2019年7月23日に、不審なIPからのアクセスを約3万件ほどを確認。これにより顧客アカウント3,467件が、不正ログインを受けたとの見方を示しています。

> 4. お客さまへのお願い
> お客さまには不正ログイン防止の観点から、定期的なパスワードの変更をお願いいたします。

今どきパスワードの定期的変更を求める会社って…推して知るべし，かｗ

ネット銀行でもよくあるが

頻繁に変えさせるから、管理が煩雑になって、どこにアクセスするにも使いまわしのP/Wになるんじゃないか。

俺いっつもパスワード覚えられなくて頻繁に変えてるw
どうせ忘れても「パスワードを忘れた方はこちら」でちょっと手続きすればリセット出来るから気にしてない

2段階認証選べるし

>>43

書いときゃ客の責任にできるやん

いやいやいや

個別にメールくるらしいよ。
それと、ログイン時にパスワード変更求められたら該当者。

ログインすれば対象者はパスワード変えろと言われるらしい

「パスワードを半年以上変えてないから変えろ」というメッセージはあったが
それ以外はなかった、不正ログインされなかったんかな

パスワードは変えない派
不正ログインされたときに盗まれるんなら、結局変えようが変えまいがリスクは同じ

住所と名前バレるんじゃね
あとアマゾンと連携できたはずだからやばいんじゃない

閲覧された可能性のある項目：
クロネコID、メールアドレス、利用の端末種別（パソコンまたは携帯・スマートフォン）、氏名、氏名ふりがな、電話番号、性別、郵便番号、住所、クレジットカード情報（カード番号の下4桁・有効期限・氏名）、アドレス帳情報（氏名・住所・電話番号）

だから何？って感じだな・・・

バカそう

マジでだからなに？って感じ。

なにがしたいんだろうな
自分宛に送らせるとか？

まあ、既にリスト型攻撃のターゲットにされてる奴ならとっくに漏れてそうなレベルの情報かな
とりあえず紐付けしておこう程度

> クロネコID、メールアドレス、利用の端末種別（パソコンまたは携帯・スマートフォン）、氏名、氏名ふりがな、電話番号、性別、郵便番号、住所、クレジットカード情報（カード番号の下4桁・有効期限・氏名）、アドレス帳情報（氏名・住所・電話番号）
>
> だから何？って感じだな・・・

全部じゃん火消しかよ
死ねよ

性癖もやばいしクレカもレシートなどで表示されない下四桁が肝心なのに

いや待て今クレカの上位12桁をレシートに書いちゃう糞業者どこだよそれが先だ
下四桁はハッシュで上位12桁から計算で出るんでみんな下4桁表示に切り替えてるのに

マジ？俺の行き着け複数が全部それだわ
最近までシュレッダーかけてたけど面倒なんでやめたばかりなのに
名前は出さんけど大手ばっかだぞ
それ法規制させろや・・・

つい最近Tポイント連携で１００万ポイント当たるとかいうのやってるんだよ
たぶんこれで自ら呼び寄せた犯罪ってところかな

あーYahooにそのバナー良く出てたね
登録しないで良かったわ

商品の窃取
→クレジットマスターとか盗難したカード番号で決済
→クロネコメンバーズのアカウントを乗っ取って、連携ID・メールアドレスほか変更して紐付け

→商品が発送されたら無人の宅配ロッカーほかに届け先を変更して勝手に受け取り

通販屋さんが属性確認でNGして、ヤマトさんに配送止め依頼してももう配達店の手前あたり
カード不正はチャージバックされて、通販屋さんか名義人が負担
窃取品を監禁すればホクホク

下らねーことやってねえで働けよ！と

パスワード使い回しの奴がやばい
俺ネトフリでアカウントハックにあったけど
メールアドレスと紐付けされてたサイトから漏れた可能性高いと言われた

なるほど

ねとふりでもそんなことあんの
怖い

でもパスワード使い回さないと面倒じゃん…

管理ソフト使え

当たったIDで、金融機関総攻撃。非常にまずい。

こういうのは認証通ったら同じIDパスワードでログイン出来るサービスを探すところまでがセットなので、使い回ししてたらアウト

再配達の履歴で不在の時間がわかるとか？

ヤマト運輸
　お客さまへのお願い
　お客さまには不正ログイン防止の観点から、定期的なパスワードの変更をお願いいたします。

総務省
これまでは、パスワードの定期的な変更が推奨されていましたが、2017年に、米国国立標準技術研究所（NIST）からガイドラインとして、
　サービスを提供する側がパスワードの定期的な変更を要求すべきではない旨が示されたところです（※１）。
　また、日本においても、内閣サイバーセキュリティセンター（NISC）から、パスワードを定期変更する必要はなく、流出時に速やかに
　変更する旨が示されています（※２）。
（※１） NIST SP800-63B（電子的認証に関するガイドライン）
（※２） https://www.nisc.go.jp/security-site/handbook/index.html

定期的に変えられると、ハッキングする側が困るでしょ

定期的に変えようが変えなかろうが、ブルートフォースには無関係
ならば、覚えにくい長文より覚えやすい短文設定してる客の方が易しい

人的な流出の方が怖い
やっぱ定期的に変えた方がいい気がする

定期的に100も200もパスワード変えられるもんかね

専用のIDを使わせると結局覚えきれなくなってメモ書きするようになるから顧客側のセキュリティがザルになる

View post on imgur.com

簡単にリストアタックできる仕組みを利用されたと見るべきじゃないか？
当たったIDは別の会員サービスでの有効なログイン確率が高まるじゃないか

攻撃者「おっ！メアドとパスワードこのサイトで通るなら他のサイトでもいけるんじゃね？！」

そのように攻撃を行うものになる　なお、漏れてるサイトは漏れた事実を書かないのでお察し。

アドバイスとしては、黒猫に限らず、全ての利用するパスワードは違うものを使えよな・・。
たまにいるだろ？郵便でもアンケートと役所と私信で
最後の住所に「1番目のポスト」とか「2番目のポスト」と書いたり
あるいは、「住所＋家族（ぬいぐるみの名前）宛」というように書き足しておいてよ
漏れたときに何処の会社が漏らしてるか確認するだろ？　やってることは一緒の対策だよ

これやろうとしたら認めなかったのがパナソニック

もう寝ろ

スタートボタンを押したまま1周できる？

メンバーなのでログインしてみたけど不正アクセスされたIDには通知してるってよ

家族で違うアカウントだったりマンション内でLANになってる環境とか

ログインは成功しなくても3万のアカウントはリストとして漏れてたってことだよね？

そのリスト攻撃のリストが何で漏れてんの？

俺の１２桁のパスも盗まれたのか？*/////////**-*-*/？

クロネコのIDはメールアドレスじゃないから
別サイトのアタック用に
メールアドレスとパスワードの組が新しくリストに加わることになるよね

セブンもそうだがわざとやってるとしか思えない
グルなんだよ

使わないのが一番！
何度もクロネコジジィに再配達してもらおう
クロネコが悪いんだからな

と思ったら、クレジットカードナンバーの入力欄があったか。

どこかで手に入れた3万件の情報をクロネコのサイトで使えるか試して通ったのが3467件って事
そのサイト自体の情報ならログインの大半が成功してただろう

他企業は不正アクセス無かったのかね？
他企業が公表してないってことは、クラッカーの勘？よくもまあ、相手が「手始めにヤマトで試してみよう」と思ったもんだね。

それウイルスかトロイ踏んでない?

idやメアドを知らなくてもパスワード判るの？

ネコピットで分かるらしい
パスワード平文保存も問題だ
基本的にセキュリティに疎い企業と思われる
こんな所に会員登録してはいけない

さすがにチリからメールきたことないなぁ
何かがおかしいな…。

https://japan.norton.com/dwm/
https://haveibeenpwned.com/
無料診断やってるサービスを使ってみる

十分の一アタック成功ってすごい。
リスト型ってめっちゃ効率的なんだな。

パスワードの使い回しは良くないとよく分かるな

不正アクセス禁止法ができる前のことだけど、スクリプト書いてオンラインゲームのidとパスワードが同じ人を探したら結構見つかった
100人に1人くらいはいた

ヤマト運輸神戸須磨地区関係者は朝鮮人パチンコ屋に依頼されて我が家の玄関先に立ち、うちの防犯システムを調べているクロネコヤマト配達員 角田貴弘を自殺させよ

角田貴弘の如き朝鮮人犯罪者の手先は玄関チャイムを鳴らす資格はない。ヤマト運輸はパワハラによって、角田貴弘を自殺させよ

9064株主

IDとパスワードを使い回ししてる輩が悪いのにw

会社側の五毛か。しっかりチェックした専門家か

2段階認証や３Dは形だけのところが多い。
セブンペイは外に対して３Dをうたっていた。

俺は全部別だが、管理が面倒。普通の人間はPW全部使い回し。
クレジットカードもキャッシュカ−ドも4桁数字だから、数回隣に行けば、ほとんどわかる。
カードGメン（あれ）と保険で成立してる世界。加盟店手数料の多くが損害の補填に使われていると思われる。
ヤマトの管理の実態を考えると（>>164
−165は問題外として）どうしているかわからない。

二段階認証出来るけど？

そういうこと
退会するしかない
防御するには

最初から「リスト攻撃」と決めうちしてくるところが最近多い。
リスト攻撃なら、自分のところが流出源でないとして、使い回している顧客が悪いことで解決できる。
セブンペイはPWもIDも使い回していないと証言する人が出て、やっとまともに対応するようになった。

俺も全部別で管理している。
漏れるとしたら、会社かプロバイダーか回線。
危険を冒してセキュリティソフトは3段構え（よい子はまねしないように）
（専門家は前からオムニの弱さに気がついていたが）

クロネコメンバーズに二段階認証はある。
また、クロネコメンバーズのアプリは存在しない。

クロネコヤマトのアプリ＝クロネコメンバーズのアプリでは無い。

おーありがと
けどアプリ内にメンバーズの項目があったぜ
今のアプリと何が違うのか全くわからん

ヤマト運輸に証拠と一緒に報告しなよ。

そういうのは見なかったことにする。
これが日本の常識。
だって「リスト攻撃」と会社が発表したから、それに逆らうことは不可能。

不正アクセスされた人には
個別にメール連絡が来るとともに
パスワード再設定するまでロックだとさ

リスト型＝責任逃れ、のパターンは多い。
今回のヤマトがどうなのかわからないが、正直にきちんと調べる会社とは言いにくいと思う。

たしかに調べようがないもんな(実際はあるはずだが)

だいぶ前にやめとるがな
スワンのお菓子好きだったが

全部ミニカーにする悪質ないたずらか
毎回ルンバ狙ってたのに
(ちなみにポイント交換はもうない)

ログインできれば、不正アクセスされてない可能性が高い
少なくともクロネコでは、不正アクセスされてないと判断してる

2段階認証有効にしたり、パスワード変えるなりしたまえ

届いてない

>>246

2段階認証まで突破されてるから。

スマホから(偽装含む)からのログインには二段階認証必要ない

やりたい放題されるだろ

クロネコpayってのやってたらしくてそれらしいよ
payとかまじでザルなのわからず手出しすぎな企業と
たった数円でも得したい貧乏根性の人がすぐに手出して失敗してるな

知ってたけどさ、あんなザルパスじゃ不安なので登録とかありえないということで未使用だったわｗ

それが普通の判断力ある人

あいつらが同胞だと言う理由だけで手を抜くとでも思ってんの？
まあそれが日本人の限界なんだよな･･･