ミスターマックスのアプリ・オンラインストアへの不正アクセス（最大約173万人）：氏名・メール・電話番号が漏れた会員がやること

流出したのは、会員ID・氏名・メールアドレス・電話番号の組み合わせです。これだけそろうと、宛名も会員IDも正しい、本物らしい連絡が作れます。

「お詫びのクーポン」「ポイント付与」「会員情報の再登録」「返金手続き」といった名目の連絡が来ても、本文のリンクは開かず、自分でアプリや公式サイトを開いて確かめてください。SMSで届く偽の通知（スミッシング）も同じです（見分け方は フィッシングとは）。

同社は、同社からお客様のパスワードやクレジットカード番号を尋ねることはないとしています。発表では、パスワードとクレジットカード情報は流出していないことを確認したとしています。

相手が氏名や会員IDを正しく言えても、それは本物である証拠になりません。今回まさにその情報が流出したからです。お詫びや返金を名目にカード番号やパスワードを求められたら、その時点で偽物と考えてください。

同社は対象の会員にメールで個別に連絡するとしており、送信元は noreply@mrmax.jp と案内しています。公式サイトのドメイン（mrmax.co.jp）とは異なりますが、これは同社自身が案内している送信元です。

一方で、メールの送信元の表示は偽装できます。送信元が正しく見えても、メール内のリンクからログインや入力はしない、という扱いにそろえておくと迷いません。

同社はパスワードは流出していないと発表しており、発表上は今すぐ変える必要はありません。

ただし、ミスターマックスと同じパスワードを他のサービスでも使っているなら、この機会に分けておきます。棚卸しは パスワードマネージャー に任せるのが現実的です。使い回しているパスワードが過去の漏えいに含まれていないかは パスワード漏えいの確認方法 で調べられます。

メールアドレスは作り直せますが、電話番号は簡単には変えられません。流出した電話番号には、今後もミスターマックス以外の名目を含めて詐欺の電話やSMSが届く可能性があります。

スマホの迷惑電話・迷惑SMSのフィルター機能を有効にしておくと、届く数を減らせます（設定の考え方は スマホを安全に使う基本）。郵便物にも注意するよう同社は呼びかけていますが、発表では住所は流出していないとしています。

同社は本件の問い合わせ窓口としてメールアドレス（incident-desk@mrmax.co.jp）を案内しています。問い合わせ先は、届いた連絡に書かれたものではなく、ミスターマックスの公式サイトのお知らせに載っているものを使います。

アプリやオンラインストアは、EC用のパッケージ、管理画面、プラグイン、外部ライブラリなど、複数のソフトウェアの組み合わせでできています。まず、どのソフトウェアのどの版を使っているかを一覧にします。依存パッケージの既知の脆弱性は osv-scanner のような無料ツールで定期的に調べられます。

一覧には版だけでなく、ファイルのアップロード、データの一括取り込み・書き出し、管理用のAPI、デバッグ表示など、サーバー側で動く機能も書き出します。

初期設定で有効になっているものの、実際には使っていない機能は、止めるのが最も確実です。管理用の機能を残す場合は、インターネットから誰でも開ける状態にせず、接続元の制限と多要素認証をかけます。

フレームワークごとの既定の危険な設定は フレームワーク別セキュリティ対策 にまとめています。

同社は土曜日の夕方に不審なアクセスを確認し、ただちにサービスを一時停止し、同日中に外部からのアクセスを遮断したとしています。休日でも同じことができるように、誰が通知を受け、誰がサービス停止を判断するかを事前に決めておきます。

最初の1つとしては、会員データベースから読み出された件数や管理機能の利用を1時間ごとに記録し、普段との差が大きいときに担当者のスマホへ通知する設定から始めます（考え方は レート制限と濫用対策）。