ノジマオンライン・中古スマホ買取サイトの会員管理システムへの不正アクセス（約700万件）：氏名・住所・電話番号・暗号化パスワードが漏れた会員がやること

漏えいした項目には、氏名、生年月日、性別、住所、電話番号、メールアドレスがそろっています。これだけあると、宛名も住所も正しい連絡を作れます。同社も、なりすましメールやフィッシング詐欺等に悪用されるおそれがあるとして、身に覚えのないリンクや添付ファイルを開かないよう求めています。

「お詫びのクーポン」「会員情報の再確認」「ポイントの失効」といった名目の連絡が来ても、本文のリンクは開かず、自分でブラウザを開いて公式サイトで確かめてください。SMSの偽通知（スミッシング）も同じです（見分け方は フィッシングとは）。

発表は、漏えいしたパスワードは暗号化されたものだとしています。同社は、パスワードの変更を求めていません。2つのサイトは、11月2日の発表時点で一時休止とされています（11月4日時点で再開の告知は見当たりません）。暗号化の方式は公表されていません。

そこで当サイトとしては、ノジマオンラインや中古スマホ買取サイトと同じパスワード（またはその一部を変えただけのもの）を、メールやほかの通販、SNSで使っているなら、そちらのパスワードを変えておくことを勧めます。ログインIDとメールアドレスも漏れたため、使い回しがあれば他のサービスへのログインを試される足がかりになりえます。これは同社の案内ではなく、当サイトの見方です。棚卸しは パスワードマネージャー に任せるのが現実的です。使い回したパスワードが過去の漏えいに載っていないかは パスワード漏えいの確認方法 で調べられます。可能なら 2段階認証 も有効にしてください。

サイトの再開後に同社が新しいパスワードの設定などを案内したら、そのときは案内に従います。

同社は、2つのサイトでクレジットカード情報は保持していないとしています。そのため、カード番号の入力や「カードの再登録」を求める連絡は、疑ってください。相手が氏名や生年月日を正しく言えても、それは本物の証拠になりません。今回まさにその情報が漏えいしたためです。

パスワードやカード番号を聞かれた時点で、偽物と考えてください。

メールアドレスは作り直せますが、電話番号と住所は簡単には変えられません。一般に、漏れた電話番号には、ノジマ以外の名目を含めて、詐欺の電話やSMSが届くことがあります（当サイトの見方）。迷惑電話・迷惑SMSのフィルターを有効にしておくと、届く数を減らせます（スマホを安全に使う基本）。

同社は、本件の問い合わせ先として、ノジマカスタマーセンター（0120-574-853、受付時間 9:30〜19:00）を案内しています。番号は、届いた連絡に書かれたものではなく、ノジマの公式サイトに載っているこの発表で確かめてください。

発表は「暗号化されたパスワード」と書いています。一般に、パスワードは元に戻せる暗号化ではなく、元に戻せない一方向のハッシュ（時間のかかる方式に、ユーザーごとのランダムな値を加えたもの）で保存します。自分のサイトで、保存方式と、その強度を設定した日を確かめてください（パスワードの保存方法）。今回どちらの方式だったかは公表されていません。

発表は、決済情報の非保持化によって、2つのサイトにクレジットカード情報はないとしています。持たない設計は、漏えいの被害を小さくします。同じ考え方で、生年月日と性別を何のために保存しているかを見直し、使っていない項目は集めない、または消すことを検討してください。発表は、退会した人は対象に含まれないとも書いています。退会後のデータの扱いも、同じ棚卸しで確かめられます。

発表によれば、検知・確認は11月1日（日）で、公表は翌11月2日（月）です。発表は、判明後の対応として外部アクセスの遮断、警察への相談、サイトの休止、公式サイトと公式SNSでの告知を挙げていますが、実施日は書いていません。自分のサイトで同じことを休日にも回せるか（誰が判断し、誰がサイトを止め、誰が告知を出すか）を、今日の時点で決めておいてください。