アンケートサイトQzooへの不正アクセス（約40万件）：口座情報を含む会員情報が漏れた可能性と、会員がやること

同社は、他のサービスでQzooと同じメールアドレスとパスワードの組み合わせを使っている場合は、そのサービスのパスワードを速やかに変更するよう求めています。パスワードがどのような形式で保存されていたかは公表されていません。

メールアドレスとパスワードの組み合わせが分かると、他のサイトで同じ組み合わせを試すログインが行われることがあります。メール、ネット銀行、ネット通販、ポイントサービスから優先して変え、サービスごとに別のパスワードにします。棚卸しは パスワードマネージャー に任せるのが現実的です。メールアカウントには 2段階認証 も設定しておきます。

Qzoo自体のパスワードは、サービス再開時に全モニターに再設定を求めるとしています。

同社は、Qzooまたは同社を装ったメール・SMS等に注意するよう呼びかけ、同社からパスワードやその他の情報の入力を求める連絡をすることはないとしています。不審なメールのURLは開かず、添付ファイルも開かないよう求めています。

同社は、対象の人には順次個別に案内するとしているため、本物の案内と偽物が同じ時期に届く可能性があります。「謝礼の振込先の確認」「パスワード再設定」「お詫び」といった名目の連絡が来ても、本文のリンクは使わず、同社の公式サイトのお知らせで確かめてください（見分け方は フィッシングとは）。

ここからの2つは、口座番号・支店名・口座名義が対象に含まれることを踏まえた当サイトの助言で、同社の発表に書かれた依頼ではありません。

口座番号と名義は振込を受けるために相手に伝える情報でもあり、それだけで口座からお金を引き出すことはできません。引き出しや送金には、キャッシュカードと暗証番号、インターネットバンキングのログイン情報や認証コードなどが必要です。注意したいのは、口座情報を知っていることを材料に、銀行・同社・警察などを名乗って「口座が不正に使われている」「振込先を確認したい」と連絡してくる場合です。

一般の注意として、全国銀行協会は同協会がお客さまの暗証番号やパスワードを尋ねることはないとし、警察庁は警察官が電話等で暗証番号を求めることはないとしています。暗証番号、ログイン情報、ワンタイムパスワード（1回限りの認証コード）は、電話・メール・SMSで答えないでください。

Qzooに登録した口座の通帳や銀行アプリで、身に覚えのない入出金や引き落としがないかを確認します。見つけたら、通帳やキャッシュカードの裏、銀行の公式サイトに載っている番号から、すぐに取引のある銀行へ連絡してください。届いた連絡に書かれた番号には電話しません。警察庁も、キャッシュレス決済サービスを通じて口座から不正に出金される被害を確認したときは、銀行などの事業者と警察に相談するよう呼びかけています。

同社の発表は、会員に銀行へ連絡するよう求めてはいません。口座番号の漏えいの可能性だけで口座を作り直す必要があるとする公式の案内も見当たりません。

同社は、自宅宛ての不審な郵便物や連絡にも注意するよう呼びかけています。対象には住所と生年月日が含まれるため、メールだけでなく、はがきや封書、電話でも本物らしい連絡が作れます。

相手が氏名・住所・生年月日・登録した口座を正しく言えても、本物である証拠にはなりません。今回まさにその情報が漏れた可能性があるからです。問い合わせは、発表に載っている窓口（Qzooお客さまお問い合わせ窓口：qzoo_support@monitas.co.jp）か、同社の公式サイトから確かめた連絡先を使います。

一般に、口座情報のように重い項目は、会員のプロフィールやアンケート回答とは別のデータベース（または暗号化した別の領域）に置き、支払いの処理だけが読めるようにします。サイトの画面を動かすアカウントが口座情報まで読めると、1つの入口の不具合で全部が影響を受けます。

SQLインジェクションは、入力値がそのままSQL文の一部として扱われることで起きる脆弱性の総称です（仕組みは SQLインジェクションとは）。一般に、プレースホルダーを使う書き方（パラメータ化クエリ）に統一し、古い画面や管理用の機能も含めて棚卸しします。

同社の発表では、不正アクセスの開始（8時30分）から検知（18時44分）までに約10時間あります。一般に、1回あたりの読み出し件数やエラーの急増、普段使わない表への書き換えを記録し、閾値を超えたら担当者に通知する設定から始めると、気づくまでの時間を縮められます。