Tweet

二要素認証の導入などセキュリティ対策を実施

米Dropboxのスパムメール問題、原因は「パスワードの使い回し」から

2012/08/01

　米Dropboxは7月31日、複数のユーザーのメールアカウントにスパムメールが届いていた問題に関する調査結果をブログ上で報告した。同社に対する直接の不正アクセスはなかったが、ほかのWebサイトから盗まれたパスワード情報の中に同社従業員の情報が含まれており、その従業員のDropboxストレージに含まれていたプロジェクト文書から、ユーザーの電子メールアドレスが流出した可能性があるという。

　この問題が浮上したのは7月中旬のことだ。Dropboxを利用している複数のユーザーが、「Dropbox専用で使っている電子メールアドレスあてに、オンラインカジノのスパムメールが届くようになった」と報告し、同社も調査に乗り出していた。

　調査の結果、最初にアカウント情報が盗まれたのは、Dropboxではない第三者のWebサイトだったという。攻撃者はこのアカウント情報を用いて、いくつかのDropboxアカウントに侵入を試みた。その中にはDropbox従業員の情報も含まれており、悪いことにその従業員は、Dropboxの中にユーザーのメールアドレスが含まれたプロジェクト文書を保存していたという。

　この結果を踏まえてDropboxは、「二要素認証の導入」「疑わしい行為を検出する新メカニズムの導入」「ユーザーが自身のログイン履歴などを確認できる『セキュリティ』タブの導入」「あまり安全ではないパスワードを利用しているユーザーに対する、パスワード変更の推奨」といった複数のセキュリティ対策を取ることにした。

　同時にユーザーに向けて、同じアカウント、パスワードを異なるサービスで使い回すことは避けるよう推奨している。もしアカウントを使い回していると、どこか1つのWebサイトが侵害されたとたんにすべてのアカウントがリスクにさらされる。異なるパスワードを使い分け、もし運用が難しい場合は「1Password」などのサービスを利用することも検討すべきという。