ハッキング被害に対するmineoとのやり取り（その２）

mineoと継続してやり取りをしました。
何点か再調査をお願いしたのでその報告は明日以降回答をもらってからにします。

※前スレッドが長くなったのでこちらに分けてみました。
※mineo担当者と当初のやり取りと話題の趣旨が変わりつつあるかもしれません。

質問回答を掲示板に載せることの了承はとってあります。
基本的にmineoの正式見解であるという言葉も頂いています。

まず最初に書いておきますが回答いただいた担当の方もかなり苦しんで言葉を用意されていました。
こちらも納得できず語気を荒げた部分などありましたが、それに対しても真摯に回答いただいた担当の方に感謝します。



Q.ログイン後に閲覧されたページをを教えてほしい。
A.個別に回答することはない。今後も絶対にない。


ここでかなり喧々諤々のやり取りになりましたが「絶対に教えない」「今後も教えることはない、これは弊社の正式見解である」と回答を頂いたので事実上の終了となりました。
２日掛けてご覧の有様です。


このやり取りの人物も最初の電話の時点(8/19)では調べて教えてくれるという話だったのですがこの変わり様です。
多分mineo上層部の方針が正式に決まったのでしょう。


Q.昨日の別人が掛けてきた、その人物と約束したので変わってほしい。
A.絶対に変わりません。今かけている私が今の担当者です。


Q.あなたは昨日約束したのに電話を掛けてこなかったのはなぜか？別人が対応してその人と約束したんだが？
A.お休みを頂いていました。


Q.では昨日の人に変わってくれ。約束と違う。
A.絶対に変わりません。どれだけおっしゃられても電話は変わりません。



ここで変われ変わらないの押し問答になりましたが結局こちらが折れる状況になりました。
mineoの見解として「担当者」は毎日変わるらしく継続性はまったくないので「担当者と名乗る人物を信じて話をしても意味がない」ということがわかりました。



Q.どんな被害者にもページの閲覧情報を教えないと言うのが公式見解でいいのか？
A.そのとおりです。



超重要な正式見解を頂きました。



Q.平文で「秘密の質問」と「回答」を閲覧できるページがある。このページを覗かれたかどうかだけでも良いので教えてほしい。
A.絶対に教えません。


Q.平文の「秘密の質問」と「回答」が流出したのはmineoの問題ではないのか？これの対応はどうなるのか？
A.お客様が同じ「秘密の質問」と「回答」を使っている他のサイトを回って全部修正していただければよろしいかと。


Q.それはmineoの公式見解？本当にその回答で大丈夫？
A.はい。公式見解です。


この部分は正直なところmineoが心配になったので何度も確認しました。
これを掲示板等に載せるけど良いかも確認しましたが問題ないとのことだったので記載しています。
二次被害を回避するのはユーザーの作業であるということでした。


ここら辺でこちらの心が折れたので質問を変えました。
以下は要約ですが正式に回答をもらえた分だけ記載します。


Q.今現在もハッキングは続いているのか？
A.はい、続いています。現状の被害状況についての公式見解は弊社発表のものです。


これはきっぱり答えてくれました。


Q.mineoとしては一体何の対応をしてるの？
A.不正アクセスが行われたIPのブロックのみです。


Q.すぐにでも全ユーザーに周知しないと駄目じゃないのか？
A.その様にできるように対応いたします。


Q.二重パスワードなどの対応は取れないの？
A.大掛かりなシステム改修となるので直ぐに対応は難しいです。


これは事実だと思います。
システム改修は容易ではないでしょう。


Q.不正アクセスはmineoのページだけ？
A.いえ、eoIDを使用しているサービス全てです。


Q.mineoからメールが来たのでmineoのマイページが不正アクセスされたと思っていたのだが違うの？
A.どのサービにeoIDで不正サクセスされたのかもお答えできません。


mineo、eo本体、ララコール等など多々あるeoサービスのどれに不正アクセスされたのか教えてもらえません。
なかなか厳しいですが、ここは担当者さんも苦しんでおられました。

こちらとしては今までmineoへの不正アクセスだと思っていたのですが、実際はそうではなくeo全般の何らかのサービスへの不正アクセスだということに衝撃を受けました。
ただ考えてみれば当たり前のことでもあります。


Q.閲覧されたかもしれないお客様番号を変えてもらうことはできるのか？
A.出来かねます。


これはこの系統のIDを振り直してもらえるかどうかの確認のために聞きましたが駄目だそうです。


上記外に幾つか細かいことをお願いしてそれについての回答は明日調査後に教えてくれるそうです。
大きな問題もあるのですがこれは担当者が上と掛け合って情報を勝ち得てもらえるかどうかですが…


明日、また連絡を頂いたら報告いたします。




長文になって申し訳ないのですが、これだけは最後に。

現在被害にあってないユーザーでも、自身を含め、友人知人、少しでも多くの方に完全にユニークなパスワードの変更を周知、実行させてください。
今現在もパスワードリストアタックは続いておりmineoはIP遮断の対応しか取れていません。
今は傍観者の方々も被害者になる可能性が存分にあります。
今後も被害は拡大する可能性が存分にあります。

mineoだけでなくeoIDサービス全てがアタックの対象です。
eoIDを持っているユーザーは全てパスワードを完全ユニークなものに変更すべきです。