NewsPicksの個人情報漏えいのおそれ（カード名義・下4桁など最大36.2万件）：管理ツールへの不正アクセスで何が漏れたかと、利用者がやること

今回漏れた可能性がある項目には、カード名義と番号の下3桁または下4桁が含まれます。カード会社やサービスからの本物の連絡でも、本人確認のために末尾4桁を示すことがあります。そのため、末尾の数字が正しい偽の連絡は、本物と見分けにくくなります。

「ご登録のカード（末尾◯◯◯◯）の有効性を確認してください」「お支払いに問題があります」といった連絡が来ても、リンクは開かないでください。カードのことはカード裏面の電話番号でカード会社に、NewsPicksのことは公式アプリで確かめます（見分け方は フィッシングとは）。

同社は10月9日から順次、NewsPicksサポート窓口（no-reply@newspicks.com）から対象者にメールで連絡するとしています。ただし、メールの送信元の表示は偽装できます。通知に似せた偽メールも考えられるので、内容の確認は自分で開いた公式サイトのお知らせで行うのが確実です。

同社は、メール・SMS・電話・郵送でパスワードやクレジットカード番号を尋ねることはないとしています。これらを求められたら、その時点で偽物と判断できます。

同社の説明では、カード番号の全体は決済代行会社が管理していて同社のシステムには保存しておらず、セキュリティコードも保存していません。そのため、漏れた情報だけでカードが使われる可能性は低いと考えられます。

それでも、偽の連絡に誘導されてカード番号を入力すると、そこから不正利用につながります。明細に知らない請求があれば、少額でもカード会社に連絡してください。カードを再発行するかどうかは、カード会社と相談して決めます。

漏れた可能性がある項目には、所属（勤務先など）、所属先の電話番号、役職の分類も含まれます。個人のメールだけでなく、勤務先あての電話やメールでNewsPicksや取引先を名乗る連絡が来ることも考えられます。

身に覚えのない請求や「契約の確認」を求められたら、その場で答えず、自分で調べた公式の連絡先にかけ直します。NewsPicks Enterprise・NewsPicks Educationを導入している組織の担当者は、社内の利用者にもこの注意を共有してください。

同社は、パスワードの漏えいは確認されていないとしており、パスワードの変更は求めていません。気になる場合や、同じパスワードを他のサービスでも使っている場合は、メールのリンクからではなく、公式アプリの「設定とプライバシー」→「アカウント設定」から変更できます（同社のヘルプページ パスワードを変更したい の手順）。

使い回しを減らすには パスワードマネージャー が現実的です。自分のパスワードが他の漏えいに含まれていないかは パスワード漏えいの確認方法 で調べられます。

同社の発表に載っている窓口は、メール（info@newspicks.com）と、NewsPicksのヘルプセンターのお問い合わせフォームです。問い合わせの際も、カード番号やパスワードを書き送る必要はありません。

社内の人だけが使う管理ツールや分析ツールは、本体のサービスより軽く扱われ、更新の担当が決まっていないことがあります。まず、業務で使っている管理ツールを一覧にし、それぞれ誰が更新するか、脆弱性の情報をどこで受け取るかを書き出します（セキュリティの棚卸し、脆弱性対応の実務）。

管理ツールを使うのは社内の人だけのはずです。社内ネットワークやVPN、接続元の制限などで、ログイン画面そのものを外から見えなくします。そのうえで、ログインは会社の統合ログイン（SSO：1つのアカウントで複数のツールに入る仕組み）と 多要素認証 を通すようにします。

脆弱性によってはログインより前の処理が狙われ、パスワードや多要素認証では防げないことがあります。外から開けないようにすることが、その場合にも効く対策です（VPN機器の脆弱性への備え）。

一般に、管理ツールから漏れる範囲は、そのツールに許したデータアクセスの範囲で決まります。同社も対応として、管理ツールのデータアクセス権限を業務上必要な最小限まで縮小したとしています。

自分の環境では、管理ツールの接続ユーザーやアクセスキーがどのデータを読めるかを書き出し、業務に要らない項目（カード名義や末尾の数字、生年月日など）は読めないようにします。表の一部だけを見せる仕組み（ビュー）を使う方法は Metabaseの脆弱性を悪用した情報漏えい の記事で説明しています。誰が何をしてよいかの考え方は 認証と認可の違い にまとめています。

同社は対応として、管理ツールからアクセスできるデータへのアクセスキーを再発行しました。管理ツールが侵害されたときは、ツールが持っていた鍵も漏れた前提で替える必要があります。どの鍵がどのツールに渡っているかを一覧にし、再発行の手順と担当者を平時に決めておくと、当日の対応が早くなります。