[ITmedia News] 宝くじ公式サイト、会員の当落情報まで第三者が閲覧の可能性 リスト型攻撃か

著者 林裕也

[ITmedia]

　宝くじを販売する全国の都道府県と指定都市は11月11日、停止中の「宝くじ公式サイト」で第三者が一部会員のアカウントに不正にログインし、購入したくじの当落を含む会員情報を閲覧した可能性があると発表した。外部で入手したメールアドレスとパスワードでログインを試す「リスト型攻撃」の可能性があるという。

第三者による不正ログインを伝える告知より

　第三者が閲覧した可能性があるのは、氏名・住所・電話番号・メールアドレスなどの登録情報と、購入したくじの種類・金額・当落の履歴。このほか、当せん金を受け取る口座の金融機関名・口座名義・口座番号の上4桁や、クレジットカード番号の下4桁、登録者のプロフィール画像も対象になる。

第三者が閲覧した可能性がある会員情報の一覧

　件数は明らかにしておらず、該当する会員には今後、個別にメールで連絡する。同日までに確認した範囲では、不正ログインによる宝くじの購入や、口座情報を書き換えての当せん金の受け取りはないという。公式サイトのサーバやデータベースに侵入した形跡はなく、会員データの流出も確認していないとしている。

　リスト型攻撃の可能性があることから、宝くじ公式サイトや公式アプリのユーザーには、他のサービスでパスワードを使い回さないよう呼び掛けた。不審なメールやサイトにメールアドレスやパスワードを入力しないよう注意も促している。

　宝くじの公式サイトは、利用者のパスワードが意図せず変わる問題を確認したとして5日から利用を一時停止しており、公式アプリも6日までに止めている。