ハッキング被害に対するmineoとのやり取り

パスワードリスト攻撃の被害者の一人となってしまったようでmineoからIDの停止などの
連絡とフリーダイヤルへの電話をしてほしい旨の連絡が来ました。

以下、現状でmineoとしたQ&Aです。

※誤字脱字についてお許しください。
※IDパスワードが他サイトで使用していたものと同じだった点については完全に自己責任だと理解しています。
　以下は流出した個人情報についてmineoに対する問い合わせです。



Q.個人情報が流出したかどうか教えてほしい。
A.現状では二次被害などが出ていないため個人情報は流出していないと考えている。

Q.ログインされたのに個人情報が流出していないとはどういう意味か？ログインした瞬間そこが個人情報ではないのか？
＜２分ほど「状況がわかる人間に話を聞きに行く」と電話が保留＞
A.申し訳ございません。

Q.mineoのページはログインしたら画面全部が見えなくなるの？
＜２分ほど「状況がわかる人間に話を聞きに行く」と電話が保留＞
A.申し訳ございません。


この時点ですでにオペレーターは質問に答えなくなる。
何を質問しても「わかる人間に聞きに行きます」といって保留にされる。
何を質問しても結局は「申し訳ございません」としか言わない。


Q.ログイン後の不正アクセス者のログイン後の各URLへのアクセスログは残っているのか？
＜２分ほど「状況がわかる人間に話を聞きに行く」と電話が保留＞
A.残っています。

Q.では「どのページを閲覧されたか」を教えてほしい。二次被害を出したくない。
＜２分ほど「状況がわかる人間に話を聞きに行く」と電話が保留＞
A.分かりかねます。



こちらとしては最大の問題として「お客さま情報照会（eoID等）」のページにアクセスされると「秘密の質問」とその「答え」が見られてしまうことに懸念がある。
これで全く違うパスワードでも「秘密の質問」経由でアクセスされるページが出てきてしまう可能性があるからです。



Q.ログが残ってるならどのページを閲覧されたか分かるはず。分かる人間に回答させてほしい。
A.わかりました。折り返し電話いたします。


※この時点で朝の10:30です。


このあと一切電話がかかってきません。
20:00の時点でしびれを切らして再度電話します。


Q.折り返しかけてくるって話はどうなった？連絡するつもりはないのか？
A.申し訳ありません。必ず折り返させます。


その後、5分して折り返し電話がかかってくる。
完全に折り返し電話を忘れていたようである。


Q.どのページを見られたか分かったか？
A.分かりかねます。


Q.各ページへのアクセスログがあって不正アクセスの対象IPからが6000件しかない。アクセスの日時もわかっている。なのになぜ分からないのか？
A.調査中としかお答えできません。


Q.必ず調べて連絡してくると言う約束で10時間放置されたがどういうつもりだったのか？
A.申し訳ありません。


Q.結局のところ、個人情報は流出したのか？
A.個人情報は現時点では流出しておりません。


Q.どのページを見られたかも分からないのに？ページログインした瞬間に個人情報が流出してるでしょ？
A.いいえ流出していません。どのページを見られたか現状ではわかりませんが個人情報は流出しておりません。


色々細かく聞くとmineo的には、被害が出たら「個人情報が流出した」、出なかったら「個人情報が流出していない」という見解らしい。


Q.これ電話切ったら二度と連絡して来ないよね？本当に調べてるの？
A.調べています。

Q.じゃ明日の18:00にもう一度電話してほしい。そこで各ページへ閲覧ログの解析結果を教えてほしい。
A.了解しました。必ず電話いたします。




翌日18:30、mineoから電話がかかる。
以下、カオスなやり取り。


Q.調査結果は出た？
A.お客様個人でログ情報を確認できるページがございます。


Q.本当に？それはこちらが見落としていた。教えてほしい。
A.mineoのマイページにログインいただければ、使用量の円グラフの上にログイン情報が表示されています。


Q.え？IDロックされてるのにどうやってアクセスするの？
A.あ、申し訳ありません。


沈黙が訪れる。


Q.別アカウントでログインしてページ確認できるけど、それで確認しても良い？
A.はい。不正アクセス被害アカウントでなくともページの表示位置は確認できます。


ここで妻のアカウントを借りてページを確認。
そんなもの全く無い。


Q.え？そんなの一切ないよ。どこにそんな項目やページリンクがあるの？
A.え？PC版ですか？すいませんPC版を確認してみます。


この時点で電話口の向こうで何の画面を見て連絡してきているのか全くわからない。



5分以上放置される。



A.すいません。違うページでした。eoの公式ページにアクセスください。


Q.一体何調べて連絡してきてるの？これ大丈夫なの？？
A.申し訳ありません。


Q.で、どこを見ればよいの？
A.「ログイン履歴」をご確認ください。これでログインの履歴が見れます。
　これでよろしいでしょうか？
　

Q.え？何言ってるの？大丈夫？理解して電話してきてる？
　不正アクセスされてるから不正ログインがることなんか分かってるんだよ。
　こちらが要求しているのは「どのページを閲覧されたか？」の情報。
　丸二日かけて何を連絡してきてるの？
A.申し訳ありません。


Q.ちゃんと引き継ぎされてるの？
A.申し訳ありません。


Q.ページの閲覧ログは本当にあるんだよね？
A.あります。


Q.じゃどのページ見られたか教えてほしい。
A.申し訳ありません。



これ以降何を聞いても「申し訳ありません」の無限ループ。
さらに黙りこくって一切発言しなくなったりする。



Q.丸二日かけて何も伝わらず、これ調査とかどうなってるの？
A.申し訳ありません。


Q.これアクセスログは本当に存在するんだね？
　Apacheのログしかなくてセッション情報とも紐付いていないから何もわかりませんとか言い出さないよね？
（Apacheログでも特定IPからの不正アクセスだから十分情報拾えると思うけど……）
A.ログは絶対にあります。


Q.いつになったら閲覧されたページ教えてくれるの？
　秘密の質問と答えも漏れてるかもしれない。これってパスワード漏れと同じでしょ？
A.申し訳ありません。


頭痛が痛い状況になる。


Q.6000件程度の不正アクセスなんだから直ぐに閲覧ページわかるでしょ？
A.申し訳ありません。


Q.調査してるんだよね？ちゃんとアクセスページ連絡してくれるんだよね？
A.はい、調査ができしだい、お客様には個別に連絡いたします。


Q.明日も経過情報ちゃんと連絡してきてほしい。
　状況をちゃんと理解して、調査結果を教えてほしい。
　
　「なにか保証しろ」という話ではなく「どのページがアクセスされたか」だけ教えてくれ言ってるだけ。
　「秘密の質問」をマスクせずに垂れ流してるせいで二重被害が起きるかもしれない。
　すぐにでも教えてほしい。
　
A.わかりました。明日連絡いたします。


現状は以上です。

パスワード流出は自身が悪いので仕方がありませんがmineoとのやり取りがぐだぐだで欲しい情報を教えてもらえず苦しんでいます。

不正アクセス被害で閲覧されたページを教えてもらえた人は存在するのでしょうか？