コミックシーモア流出が示す電子書籍サービスの弱点と利用者・企業がいま見直すべき対策

分析・見解

流出項目は地味でも悪用の足がかりになる

カード番号が無事だったのは救いである。ただ、メールアドレス、生年月日、性別、ニックネームがそろうと、詐欺メールの材料としては十分だ。「シーモアをご利用のお客様へ」と名指しで届けば、本物だと思い込む人は増える。生年月日は変えられない情報でもあり、他サービスで本人確認に使われる場面がある。一見地味な項目ほど、長く悪用されうる。

購入履歴まで含まれるかは、今後の発表で確かめたい点だ。電子コミックの購入履歴は、読み手の趣味や好みをそのまま映す。仮に履歴まで漏れていれば、金額以上に心理的な負担が大きい。本人が他人に知られたくない作品を読んでいる場合もあるからだ。

ハッシュ化済みのパスワードでも安心できない理由

ハッシュ化とは、パスワードを元に戻しにくい文字列へ変えて保存する方法だ。盗まれても、すぐには本来の文字が読み取れない。ただし、短いもの、ありふれたもの、他サービスと同じものは、手当たり次第に試されると破られやすい。性能の高い機器を使えば、大量の候補を短時間で試せるからだ。いちばん危ないのは使い回しである。流出元で破られたIDとパスワードの組が別のサイトへ自動で試される攻撃は、国内でも繰り返し起きてきた。

利用者側の対策は単純である。同じパスワードを使っている他サイトを洗い出し、順に変更する。可能なら二段階認証（＝パスワードに加えて確認コードも求める仕組み）を有効にする。

電子書籍は停止が長引くほど利用者の痛みが大きい

紙の本は書店が閉まっても手元に残る。電子書籍は、サービスが止まると読めなくなることがある。今回は10月15日から停止とされ、購入済み作品の閲覧、クーポン、ポイントの扱いが利用者の最大の関心事になる。2014年のベネッセの事件では、情報の量と二次被害の広がりが問題になった。2024年のKADOKAWAへのサイバー攻撃では、ニコニコ動画などが長く止まった。流出と停止が同時に起きると、利用者の損失は情報面と生活面の両方に及ぶ。

ポイントや前払い残高が残っている場合、再開後の扱いが明示されないと不満は募りやすい。

停止の判断が示す姿勢と、再開までの三つの焦点

サービスを止める判断は、売上を失う重い決断だ。裏を返せば、原因が分からないまま運用を続けないという姿勢とも読める。今後の焦点は三つある。侵入口の特定、流出した件数と範囲、そして再開時の本人確認やパスワード再設定の手順である。これらを具体的に、早く、正確に公表できるかで、信頼の戻る速さは変わる。

同じ手口が他社にも向けられている可能性があり、情報の共有は業界全体の防御にもなる。運営会社には、お詫びだけでなく、利用者が今日から取れる行動を示す役割がある。