弥生：シングルサインオンの認証連携サーバが不正アクセスを受け、連携設定などをした1万8364件の弥生IDとパスワードが盗まれたおそれ。ログイン時のトークンも58万5341件が見られる状態に

1. 2021-05-10 10:00

   このころから6月16日19時ごろまでに、弥生の「口座連携」やMisoca、他社のサービスと連携設定をしたユーザーの弥生IDとパスワードが、窃取されたおそれがある状態になった。 [1]

2. 2021-05-18

   中南米のIPアドレスから、ドメインコントローラに意図しないアカウントが作られた。25日にも作られた。 [1]

3. 2021-05-19

   この日の0時前から6月16日19時ごろまで、ログイン時に一時的に保持されるシングルサインオンのアクセストークンを、第三者が参照できる状態になった。 [1]

4. 2021-05-24

   深夜から翌25日の7時にかけて、セキュリティシステムが不審な動きを検知して、駆除した。 [1]

5. 2021-06-16

   このころ、19時ごろに、不正アクセスの対象の期間が終わった。 [1]

6. 2021-06-22

   問題を解消し、公表した。 [1] [2]

7. 2021-06-24

   ログなどから、情報流出の痕跡と、流出した可能性のある情報の悪用は確認していないと説明した。 [1]

8. 2021-06-30

   埼玉りそな銀行が、弥生の認証連携サービスへの不正アクセスについて、同行の「マイゲート」と連携したときにログイン情報が流出するおそれがあると公表した。 [3]

9. 2021-07-09

   調査で新しく対象者が判明したとして、1万7137件としていた連携設定のユーザーを1万8104件に訂正した。新しく分かった967件は、期間内に連携設定をした331件と、誤ったIDやパスワードを入力した人や、未登録のIDでアクセスしようとした人などの636件。 [4]

10. 2021-09-27

    最終報告を公表した。第三者に参照されたおそれのある弥生IDとパスワードは、連携設定をした17,504件に、間違った弥生IDなどを入力した600件と、お客様番号と思われる数字を入力した260件を加えた計18,364件。 [5]

毎月の定期検査で、ドメインコントローラに不審なアカウントが作られているのを見つけ、アクセス元が認証連携サーバだと分かり、調べると情報が流出したおそれがあると分かった。認証連携サーバのファイルを参照するコマンドを含む不正なスクリプトを埋め込んだアクセスが行われた。弥生は対象のユーザーのパスワードを変更し、メールで仮パスワードを知らせて、新しいパスワードの設定とパスワードの使い回しへの注意を求めた。ドメインコントローラはネットワークから切り離し、原因と被害を調べている。 [1] [2]

最終報告では、対象は連携設定をした17,504件、間違った弥生IDなどを入力した600件、サポートのお客様番号と思われる数字を入力した260件の計18,364件とした。パスワードの再設定率は9月15日時点で93.5%だった。 [5]