JR九州：「JR九州Web会員向けサービスサイト」にリスト型攻撃、1,269件にログインされポイントも不正交換

1. 2020-09-13

   この日から15日にかけ、海外の複数のIPアドレスから、他から漏れたとみられるIDとパスワードで不正なログインが続いた。 [1] [3]

2. 2020-09-16

   朝、会員から身に覚えのないポイント交換の通知メールが届いたと申し出があり、発覚した。 [1] [3]

3. 2020-09-23

   公表した。 [2] [3]

1,269件のアカウントにログインされ、氏名、生年月日、性別を見られたおそれがある。1件で3,100ポイントが他社のポイントに交換された。ほかに6件の交換申請があったが、完了前に止めた。 [1] [3]

サイトは九州在住者を中心に約290万人が登録している。 [2]

攻撃元のIPアドレスを遮断し、一部のポイント交換を止めた。交換を申請された7人には電話で、ログインされた1,262人にはメールでパスワードの変更を頼み、使い回しをしないよう呼びかけた。 [1] [3]