同課によると、同級生との間には当時トラブルがあり、男子生徒は「自分の悪口をメールに書いているのではないか」と考え、盗み見たという。
男子生徒は、パスワードを再設定しようと「秘密の質問」のペットの名前に何度か答え、合致しパスワードを変更した。
ログインできなくなった同級生がパスワードを変更し直したが、男子生徒は再びパスワードを変更したという。同級生が「身に覚えのないログインがある」と警察に相談し、容疑が明らかになった。
不正アクセスで県内中学生を初摘発 容疑で県警、同級生のメール盗み見 より引用（赤字は引用者）
後述するように、Yahoo!の「秘密の質問と答え」を知っていると強大な権限が与えられたことになり注意が必要です。以下、Yahoo!の「秘密の質問と答え」の利用に対して、注意喚起を致します。
「秘密の質問と答え」とは何か
Yahoo!では、パスワード等を忘れた際のリカバリー方法として、メールを用いる方法、秘密の質問と答えを用いる方法、クレジットカード番号を用いる方法の3種類が用意されています。以下は、秘密の質問と答えの登録画面です。
秘密の質問と答えの問題点
Yahoo!の「秘密と質問と答え」を知っている人には、後述するように、当該アカウントに対して強大な権限が与えられますが、その権限と不釣り合いに下記の問題があります。- １度登録すると、取り消しも変更もできない（但し例外あり…後述）
- 登録時に、秘密と質問と答えが重大な影響をもたらすことを説明していない
- 「あなたしか知らない質問と答え」とあるが、質問は選択制なので利用者が自由に記述できない
- 質問の選択肢には、「父親の出身地」、「卒業旅行で行った場所」、「1番年上のいとこの名前」、「初めて勤めた会社の場所」など、第三者が知っている可能性の高いものが多い
秘密の質問と答えでどこまでできるか
Yahoo!アカウントの秘密の質問と答えが重大な影響があると書きましたが、具体的には「秘密の質問と答え」と生年月日の組み合わせにより、以下が可能です。- パスワードのリセット（再設定）
- ワンタイムパスワードの解除
- シークレットIDの解除
- アカウントロックの解除
ケーススタディ
ここで、架空のYahoo!利用者Aさんに登場いただきます。Aさんは、Yahoo!を熱心なユーザであり、Yahoo!の以下のセキュリティ機能を登録しています。- ワンタイムパスワード
- シークレットID
- ログインアラート
- ログインシール
一方、Aさんは「秘密の質問」として、「小学生の頃のあだ名は？」を選択し、答えを「とくちゃん」にしていました。
ここで、Aさんの子供時代を知るX氏が登場します。X氏は、AさんのYahoo!ID、生年月日と「とくちゃん」なるあだ名を知っています。X氏はAさんのアカウントに不正ログインしようとします。詳細は割愛しますが、以下の手順で可能です。
- X氏は秘密の質問と答え、生年月日により、シークレットIDを解除する(ヘルプ)
- X氏は秘密の質問と答え、生年月日によりパスワードをリセットする(ヘルプ)
- X氏がリセットしたパスワードでログインしようとするとワンタイムパスワードを問われる
- X氏は秘密の質問と答え、生年月日により、ワンタイムパスワードを解除する(ヘルプ)
- X氏は再度、リセットしたパスワードでログインを試し、今度は成功する
この時点でAさんがログインアラートにより不正ログインに気づき、ログインアラートの機能の１つであるログインロックを実行しました。
すると、X氏はいったんはログイン解除されますが、慌てず騒がず、以下を実行します。
- X氏は秘密の質問と答え、生年月日により、ログインロックを解除する(ヘルプ)
「秘密の質問と答え」で上記解除ができることは、秘密でも何でもなく、Yahoo!の仕様であり、オンラインヘルプにすべて書いてある内容です。
「秘密の質問と答え」の問題を避ける方法はあるか?
秘密の質問が推測可能、あるいは何らかの方法で漏洩した場合、Yahoo!のセキュリティ機能は無力になってしまいます。朝日新聞の報道（魚拓）によると、Yahoo!のアカウント情報漏洩事件で「秘密の質問と答え」は漏洩した可能性があり、暗号化されていなかったとのことですので、これは現実的な脅威です。いくらなんでもYahoo!が同じ失敗をすることはないだろうと期待したいところですが…サイトからの漏洩に対しては利用者が取れる対策はありませんが、上記のように、知らずに良くない「秘密の質問と答え」をつけている利用者も多いと予想されます。ここでは、既に良くない「秘密の質問と答え」をつけている場合の対策について説明します。
Yahoo!ウォレットに登録すれば秘密の質問と答えは変更できる
Yahoo!アカウントの「秘密の質問と答え」は原則的には変更できないのですが、１つ方法があり、以前Yahoo!に問い合わせて教えて頂きました。その経緯は、「Yahoo!の『秘密の「質問」と「答え」』の変更方法 - 徳丸浩のtumblr」に書きました。ただし、条件があります。- 「Yahoo!ウォレット」に登録していること
- 免許証あるいは住民票のスキャンデータを送信すること
この方法も裏技ではなく、マニュアルに書いてあるものですが、本来は、Yahoo!の有償サービスを使っているのにパスワードが分からなくなったという状況で使用する機能と推測されます。
この方法の問題は、Yahoo!ウォレットに登録するためにクレジットカード番号を登録しなければならないことで、「リスクを増やしてどうする!」というツッコミがありそうです。
Yahoo!アカウントを作り直す
Yahoo!の過去の履歴を捨ててもよいという場合は、Yahoo!の現在アカウントを破棄し、新しいアカウントを作り直すという方法もあります。確認したところ、現状のYahoo!の仕様では、アカウント登録時に「秘密の質問と答え」の登録は必須ではありません。この辺の仕様は時々変わるようで、以前試したときは、アカウント登録時に「秘密の質問と答え」が必須だったように記憶します。「秘密の質問と答え」を登録しない状態でも、Yahoo!の大部分の機能は使えますが、私が試した範囲では、ワンタイムパスワードの登録時に「秘密の質問と答え」の登録が強制されるようです。すなわち、以下の選択を迫られます。
- 秘密の質問と答えを登録せず、ワンタイムパスワードは諦める
- 秘密の質問と答えを登録して、ワンタイムパスワードを使う
- 秘密の質問と答えを登録して、ワンタイムパスワードは使わない
私はYahoo!の内部や今後の計画は知らないので、上記の優劣を決めることはできません。ただし、シークレットIDとパスワードの両方を十分長いランダムな文字列にすれば、ワンタイムパスワードなしでも十分安全性は保てるはずで、後はフィッシングの被害にあう可能性などを考慮して検討頂くしかないと思います。
ログインアラートの問題点
ログインアラートのデフォルト設定は、「注意が必要なログイン時のみ通知」となっていますが、この設定でテストしたところ、「秘密の質問と答え」によるパスワードリセットでは、ログインアラートは通知されませんでした。設定を「ログイン時は常に通知」にすると、ログインアラートが通知されます。ログインアラートは一種のリスクベース認証（ただし通知のみ）と考えられますが、リスクと認定する基準が少し緩めに設定されているのではないかと思いました。今回の実験ではISPなどは変えて「不正アクセス」していますが、同じ日本からのログインなので、国を変えるなどすれば「注意が必要」と認定されるのかもしれません。しかし、Yahoo!サービスの特性上、「ヤフオクの詐欺に使うためのアカウント乗っ取り」などは、日本国内で行われそうで、リスクベース認証が有効に働かないかもしれません。
ログインアラートの設定を「ログイン時は常に通知」にすれば、当然ながら、パスワードリセット後のログインで通知されるようになります。アラート例を以下に示します。
上記のログインに心当たりがない場合は、以下をご確認ください。これ、「■心当たりのないログイン、利用であった場合」の選択肢なのに、まず『1. 「ログイン履歴」と「登録情報」に心当たりがない情報がないかご確認ください。』と進めていますが、悠長な感じです。不正アクセスされて、パスワード変更された場合は、ログイン履歴も確認できないわけです。
■心当たりのないログイン、利用であった場合
1. 「ログイン履歴」と「登録情報」に心当たりがない情報がないかご確認ください。
◇ ログイン履歴
https://lh.login.yahoo.co.jp/
◇ 登録情報ページの見方
http://help.yahoo.co.jp/help/jp/edit/edit-54.html
2. 心当たりがない情報があった場合は、下記のURLにアクセスし、一時的にログインできない状態に設定すること（ログインロック）をおすすめします。
◇ ログインロック https://login.yahoo.co.jp/alert/lock?.ea=wOlemehXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXX-
※URLの有効期限：2013/06/09 12:14:37
だから、心当たりのないログインが来た場合は、さっさとログインロックしたくなりますが、今度は自分もログインできなくなるので、ログインロックは使い方が難しいと思いました。
私がユーザの立場で、心当たりのないログインがあったら以下のようにすると思います。
- まずは普通にログインする
- ログインできたら、不正アクセスの可能性を考慮してパスワードを変更する
- ログインできなかった場合パスワードリセットする（結果としてパスワードは変わる）
- ログイン履歴から、本当に不正アクセスかどうかなどを調べる（勘違いという可能性もある）
- IPアドレス、アクセス元の国などからその後の対処を決める
パスワード変更通知の問題点
「秘密の質問と答え」による不正アクセスの過程では、パスワード変更を伴うため、パスワード変更の通知は来ます。このメールには下記のように書かれています。
あなたが上記のYahoo! JAPAN IDでパスワード変更をしたおぼえがない場合不正アクセスの場合は、「パスワード変更をしたおぼえがない場合」に該当するわけですが、その割にはのんびりした文面になっています。ユーザーに不安感を持たせない配慮かもしれませんが、自分のアカウントが勝手にパスワード変更されている状況は不正アクセスがまず疑われるわけで、電話やメールによる確認がしたいところですが、問い合わせ先は書いてありません。
=================================================================
自分のパスワードでYahoo! JAPANにログインできるかどうかを確認してください。
ログインできない場合は、お手数ですが、下記のヘルプをご確認ください。
http://help.yahoo.co.jp/help/jp/edit/edit-63.html
メールからリンクされたヘルプには以下のような文面があります。
「パスワード変更の確認」メールは、パスワード変更を行うと、Yahoo! JAPAN IDの登録メールアドレスあてに、自動的に送信されます。最後の「こちら」のリンク先は、ご覧になるとわかりますが、被害にあった場合の一般論の説明で、Yahoo!の問い合わせ窓口が書いてあるわけではありません。
■確認メールの本文に記載されたYahoo! JAPAN IDをお使いの場合
メールに心あたりがない場合、念のため、こちらからお使いのYahoo! JAPAN IDとパスワード（※）を入力して、問題なくYahoo! JAPANにログインできるかをお試しください。
※メールに記載されているパスワードではなく、普段お使いのパスワードを入力してください。
- ログインできなくなった場合は、パスワードを再設定し、再度ログインをお試しください。
再設定方法は「パスワードを忘れてしまった」をご覧ください。- 万が一、第三者に利用されている可能性がある場合は、こちらをご覧ください。
結局どうすればよいか
利用者としてとれる対策は下記の通りです。- 「秘密の質問と答え」は乱数のような文字列を設定して、印刷したものを安全な場所に保管する
- 既存の「秘密の質問と答え」が安全でない場合は、前述の方法で再設定依頼するか、アカウントを作り直す
- 新規にアカウントを作成する場合は、「秘密の質問と答え」を設定しない運用も検討する
まとめ
Yahoo!の「秘密の質問と答え」に関するリスクと対処について説明しました。現在のところ、「秘密の質問と答え」の権限が大き過ぎて、あまり良い対策がないのが実状です。 「秘密の質問と答え」の設定は十分注意頂き、たとえば、質問に関係ない乱数で設定するというのも1つの方法です。なお、本稿に書いたパスワードリセットなどを他人のアカウントに対して試す行為は、不正アクセス禁止法などの違法行為となりますので、絶対にしないで下さい。冒頭に述べたように、逮捕者（書類送検された人）も出ています。
なんと、不愉快な事件ですこと。
返信削除楽しいインターネットが、
このような事件が起こるとは
悲しいです。