[ITmedia News] スタディサプリの「仕様不備」突く不正アクセス ユーザーのメアド3687件を第三者が特定か

著者 岡田有花

[ITmedia]

　リクルートは10月3日、オンライン学習サービス「スタディサプリ」で、第三者がシステムの仕様不備を突き、特定のメールアドレスが登録されているかどうかを確認できた可能性があると発表した。

　3687件のメールアドレスについて、スタディサプリに登録されていると、第三者が特定した可能性がある。対象のユーザーには、スタサプやリクルートを装うフィッシングメールに注意が必要だ。

スタディサプリの紹介ページより

ニュースリリースより

　不正アクセスは9月30日に判明。対象は小学講座、中学講座、高校講座・大学受験講座の登録ユーザーのメールアドレスだ。発覚後ただちに当該機能を改修し、9月30日時点で修正を終えた他、緊急セキュリティ点検を実施し、監視体制も強化したという。

　同サービスは「アカウント列挙」と呼ばれる攻撃を受けたとみられる。サービスが登録済みと未登録のメールアドレスで異なる反応を返すと、攻撃者は大量のアドレスを試し、登録されているものを確かめられる。登録を確認したアドレスは、標的型のフィッシングメールなどに悪用されるおそれがある。

　同社は、スタディサプリをかたったフィッシングメールなどの二次被害が発生する可能性があるとして注意を呼びかけている。スタディサプリやリクルートを装った不審なメールが届いても、記載されたURLにアクセスせず、パスワードや認証コードなどを入力しないよう求めている。

　第三者が特定した可能性のあるメールアドレスの利用者には個別に連絡した。スタディサプリを利用する学校・自治体にも、該当する利用者がいる場合は個別に伝えている。

Copyright © ITmedia, Inc. All Rights Reserved.
本記事は制作段階でChatGPT等の生成系AIサービスを利用していますが、文責は編集部に帰属します。