LINEアカウントへの不正アクセスに対する注意喚起
2021.02.09
1. 概要
LINEのお問い合わせフォーム(https://contact-cc.line.me)のログインページにおいてLINEアカウントに対して複数の不正ログインの試みが発生し、約3,035のアカウントについて有効なID・パスワードの組み合わせが検証されるとともに、電話番号、およびユーザー識別子、Emailアドレス(ログインする際の既知情報)が取得されうる状態でした。
当社では引き続き、被害の拡大防止のための対応を行っております。
本記事では、利用者への注意喚起を目的として、当社での調査および対応状況について説明いたします。
2. 被害状況について
LINEのお問い合わせフォームでは、頂いたお問い合わせに対し円滑なご案内を行う目的で、一般的なHTMLフォーム内に問い合わせ元を特定できる情報(電話番号、ユーザー識別子、Emailアドレス(ログイン際のID))を埋め込む仕様としておりました。
この仕様により、不正ログインの発生時にお客様の個人情報(電話番号、ユーザー識別子、Emailアドレス(ログイン際のID))が取得されうる状態となっておりました。
実際に不正ログインの被害のあった利用者に対しては既にパスワード初期化の対応を実施しておりますが、不正に取得された個人情報の性質を考慮し、本お知らせの通り告知と注意喚起のご報告を実施させていただきます。
また、本お知らせの末尾に問い合わせフォームを設けておりますので、万が一本件に関連する被害や事象が認められた場合はご連絡を頂きたく存じます。状況解消にむけて、可能な限りの調査と対応を実施させて頂きます。
2021年2月8日時点
【不正ログイン被害を受けたユーザー数の国家 / 地域別の内訳】
日本: 2,888 台湾: 21 タイ: 3 他の国家/地域: 123
合計:3,035件
3. 現在の対応状況について
二段階認証の適用
LINEアカウントを利用してログイン可能なサービスのうち、二段階認証が適用されていないサービスを対象に見直しを行い、順次適用を行っております。
二段階認証とは、ログイン時に認証コードを表示し、ご登録いただいたお客様のLINEアカウントから認証コードを入力いただくことで本人確認を行う認証方法です。
パスワードのような本人の記憶による認証に加え、本人が所有するLINEアカウントを利用した認証を行うことにより、万が一パスワードが第三者に知られても、不正ログインを防ぐ仕組みです。
参考イメージ: LINEログインにおける二段階認証
一部のお客様に対するパスワード初期化の実施
2020年10月3日から2021年1月23日にかけて、不正ログインの試行から、現在までの期間においてパスワード変更が確認できなかった方を対象に、2021年1月21日18時40分より順次、LINE公式アカウントを通じパスワードのリセットと、それに伴うパスワード再設定をお願いするメッセージをお送りしました。
メッセージ送信については以下の通り複数段階に分けて実施しております。突然のご連絡となったことを対象者の方々にはお詫びいたします。
1.LINE公式アカウントを通じ「パスワードが変更されました。」というメッセージを送信。
2.LINE公式アカウントを通じ「【重要】ご利用中のLINEアカウントに不正ログインの試みが検知され、現在登録のパスワードによるリスクが残っているため、緊急措置として2021/1/21 18:40と2021/1/23 10:00にパスワードの初期化を行いました。」というメッセージを送信。
参考イメージ: 対象者への通知
なお、LINEに設定いただいていたパスワードを他のサービスと共通のものをご利用頂いている場合、他サービスのパスワード変更についてもご検討頂ますよう、お願い申し上げます。
LINEでは、ご利用中のLINEアカウントに対するログインが試みられた際に、LINE公式アカウントを通じてお客様にご連絡しています。
参考イメージ: ログイン通知
LINE関連サービスやデスクトップ上のLINEにログインを行うと、認証済みアカウントのバッジが表示されている「LINE」という名称の公式アカウントからログイン通知が届きます。
メッセージ内容を確認し、ログイン通知に身に覚えのない場合、パスワードを変更してください。
※パスワード変更方法 https://help.line.me/line/?contentId=20000062
4. 不正ログイン発覚からの対応時系列(日本時間)
2021年1月19日 内部の不正モニタリングにて特定サービスに対するログイン試行を検知
2021年1月21日 内部調査に基づき、パスワード強制リセットおよび再設定に関するご連絡を対象者へ実施(1次)
2021年1月22日 22:34ごろ、攻撃元と思われるIPを遮断
2021年1月23日 8:30ごろ、ログイン後お客様を識別するため埋め込まれる情報である電話番号、emailアドレス(ログイン際のID)を削除
2021年1月23日 内部調査に基づき、パスワード強制リセットおよび再設定に関するご連絡を対象者へ実施(2次)
2021年2月8日 11:00ごろ、二段階認証の適用を完了
5. 更新履歴
2021年2月9日 記事公開
6. 本件に関するお問い合わせ
LINE 不正ログインに関するお問い合わせ(個人のLINEアカウントをご利用のお客様)
https://contact-cc.line.me/detailId/10092
設問2)で「その他」を選択した上でお問い合わせください