侵入の形跡なし、それでも4,436アカウントに不正ログイン　宝くじ公式サイト

宝くじ公式サイトと公式アプリで11月4日から5日にかけて、4,436名の会員アカウントが不正にログインされました。サーバーへの侵入の形跡はなく、外部で入手されたメールアドレスとパスワードが使われたと発売元は説明しています。発売元は全会員のパスワードをリセットして再設定を求め、同じ組み合わせをほかのサービスで使う人にはそちらの変更も求めています。

会員は、まず何をすればいい？

発売元はすべての会員のパスワードをリセットしていて、会員は新しいパスワードを設定し直すことになります。再設定は、登録したメールアドレスに届くメールか、公式サイトのトップページからするよう求めています。発売元は11月5日にサイトとアプリを止め、13日午前8時から再開するとしていました。

同じメールアドレスとパスワードをほかのサービスでも使っている人は、そちらのパスワードも変えるよう発売元は求めています。再設定してログインした後は、登録した情報が正しいかを確かめるようにとも書いています。あわせて、不審なメールやサイトにメールアドレスやパスワードを入力しないよう呼びかけています。

侵入されていないのに、なぜ入られた？

発売元のお知らせは、サーバーやデータベースに侵入された形跡はなく、会員データの流出も確認されていないとしています。それでも4,436名が入られたのは、外部で入手されたメールアドレスとパスワードが、そのままログインに使われたからだと説明しています。

発売元のお知らせは、この手口に「リスト型攻撃」という呼び名を、断定を避けた形で添えています。サイトの中を破るのではなく、手に入れた組み合わせで正面からログインを試す形です。入られた会員のうち4,133名は、パスワードまで変えられていました。

私は、侵入の形跡がないという説明を、安心の言葉としてだけは読めませんでした。扉が壊されたのではなく、サイトの外で手に入れられた鍵が、そのまま持ち込まれたということだからです。守る側の扉が固くても、合う鍵がほかの場所にあれば開いてしまいます。

口座やカードの番号は見られた？

発売元は、第三者に見られたおそれがある情報を一覧で示しています。氏名、生年月日、性別、住所、電話番号、メールアドレスに加え、当せん金を受け取る口座の金融機関名と口座名義が入っています。くじの種類や金額、当落の購入履歴と、登録した人のプロフィール画像も一覧にあります。

見られたおそれがあるとされた番号は、口座番号の上4桁とクレジットカード番号の下4桁までで、番号の全部ではありません。不正ログインに伴う購入や、口座の情報を書き換えて当せん金を受け取られた例は、11月13日の時点で確認されていないとしています。

対象になった会員には、発売元が個別にメールで連絡しているといいます。私は、番号の一部よりも、住所と氏名と当落が同じ一覧に入っていることの方を重く受け止めます。再設定の後に登録内容を一度見直すよう発売元が求めているのは、会員が自分の手で確かめられる手立ての一つです。

お知らせを出したのは、だれ？

今回のお知らせは、会社の名前ではなく「全国都道府県及び全指定都市」の名で出されました。当せん金付証票法の第4条は、都道府県と指定都市などが、総務大臣の許可を受け、議会が議決した金額の範囲で宝くじを発売できると定めています。つまり、法律上の発売元は自治体です。

同じ法律の第6条は、都道府県知事や市長が、発売や当せん金の支払いの事務を、銀行などの申請により任せられると定めています。ただ、公式サイトの運営の実務をどこが担っていたかは、今回のお知らせには書かれていません。問い合わせの窓口として示されているのは、宝くじコールセンターです。

11月11日のお知らせは、不正ログインと情報が第三者に見られたおそれを認めながら、人数はまだ示していませんでした。11月13日のお知らせで、人数と再開の時刻が示されました。宝くじコールセンター（0570-01-1192、ナビダイヤル・有料）は、11月14日と15日の土日も午前10時から午後5時まで受け付けると案内しています。

日本の読者にとって

今回の件で会員が自分でできることは、パスワードの再設定と、同じ組み合わせを使うほかのサービスの変更、登録内容の見直しです。番号は一部でも、氏名や住所、当落は見られたおそれがあるとされています。分からないことは、発売元の宝くじコールセンターに尋ねられます。

相談窓口

ギャンブルのことで悩んでいる本人や家族は、住んでいる地域の精神保健福祉センターや保健所に無料で相談できる。依存症対策全国センター（ncasa-japan.jp）が、全国の相談窓口と自助グループを案内している。