LINE：問い合わせフォームのログインページにパスワードリスト攻撃、3,035件で電話番号とユーザー識別子、メールアドレスが取得されうる状態に

2020年10月3日から不正ログインの試行があり、2021年1月19日に検知した。フォームに電話番号などを埋め込む仕様だったため、ログインされると読み取れた。

公表日

2021-02-09

何が起きたか

2020-10-03
この日から、LINEの問い合わせフォームのログインページに、不正ログインの試行があった。 [1] [2]
2021-01-19
社内の不正モニタリングで、特定のサービスへのログインの試行を検知した。 [1] [3]
2021-01-21 18:40
実際に不正ログインの被害にあった利用者のパスワードを初期化した。 [1] [3]
2021-01-22
夜、攻撃元とみられるIPアドレスを遮断した。 [1] [3]
2021-01-23 10:00
2回目のパスワードの初期化をした。朝には、フォームに埋め込んでいた電話番号とメールアドレスを削除した。 [1] [3]
2021-02-08 11:00
このころ、問い合わせフォームに二段階認証の適用を始め、この日のうちに完了した。 [2] [3]
2021-02-09
公表した。 [1] [3]

影響と原因

2月8日時点で、不正ログインを3,035件確認した。内訳は日本2,888件、台湾21件、タイ3件、そのほかの国・地域123件。問い合わせフォームは、問い合わせた人を特定しやすいように、電話番号、ユーザー識別子、メールアドレスをHTMLフォームに埋め込む仕様で、ログインが成功するとこれらを取得できた。 [2] [3]

フォームには二段階認証がなく、メールアドレスとパスワードだけでログインできた。同社は、LINEのアカウントでログインできるサービスのうち、二段階認証がまだ付いていないものを順に見直すとした。 [1] [2] [3]