いつも、ヌーラボサービス（Backlog, Cacoo, Typetalk）をご利用いただきありがとうございます。
この度、ヌーラボアカウントにおいて、第三者によって不正にログインが試みられるという事象を検知しました。
本事象は、攻撃者がなんらかの方法でアカウント情報(メールアドレスとパスワードの組み合わせ)を入手し、それを用いてヌーラボアカウントへのログインを試みたパスワードリスト攻撃と推定しています。
なお、ヌーラボからパスワードを含む顧客情報が流出した事実はありません。
本記事では、お客様への注意喚起を目的として、被害状況についての公表及び、被害に遭わないための対応方法についてご案内します。
1. 被害状況について
- 攻撃を検知した期間
2020年12月5日から8日にかけて
- 不正アクセスを受けたお客様の数
攻撃者がログインを試みた回数： 約 100,000 回
ログインを試みられたメールアドレスのうち、アカウントが存在した数： 約 1,500 件
そのうちログインに成功したアカウント数： 約 760件
2. 不正アクセス確認後の弊社の対応
弊社の調査において不正アクセスの被害を確認したアカウントは、以前に設定されていたパスワードではログインできないよう、急遽パスワードの無効化をおこないました。対象のお客様には、すでにパスワードの再設定をお願いするメールをお送りしています。
パスワードを無効化した日時： 2020年12月9日 18時頃から順次
対象： 2020年12月5日から8日の間に不正にログインされた可能性があるアカウント
3. 不正アクセスによるお客様への影響
不正アクセスでログインが成功している場合、ヌーラボサービス（Backlog, Cacoo, Typetalk）にログインした際にお客様自身が確認できる情報が、不正アクセスを行った第三者に流出した可能性があります。
なお、クレジットカード番号など、支払いに関する個人情報は流出していません。
また、不正アクセスを行った第三者によって、パスワードが変更された形跡はありません。
再発と被害拡大を防止のため、不正アクセスの被害を確認できたアカウントは、お客様ご自身でパスワードを再度設定していただくまで、ログインができない状態となっています。
4. お客様ご自身によるセキュリティ対策のお願い
今回のようなパスワードリスト攻撃を想定して、アカウントのセキュリティ強化するために、2段階認証を設定いただくことをお勧めします。2段階認証では、ヌーラボアカウントのログイン時にパスワードとあわせて、モバイル端末や生体認証器などでの認証も必要になります。万が一、パスワードが第三者に知られても不正なログインを防ぐことができます。
また、今回被害の対象となったアカウントに設定されていたパスワードは、過去にヌーラボ以外のサイトから漏洩していた可能性があります。ヌーラボアカウントに限らず、サービスに利用するパスワードは使い回さないよう、お気をつけください。
ログインアラートを有効にすると、新しいブラウザやデバイスでヌーラボアカウントにログインした際にメールで通知を受け取ることができます。心当たりのない不正なログイン等があれば、お客様ご自身がすぐに気づくことができる仕組みです。
ログインアラートの設定 (ヌーラボアカウント ヘルプページ)
引き続き、みなさまに安心してご利用いただけるようセキュリティ対策を行って参ります。
ご不明な点がございましたら、下記窓口までお問い合わせいただきますようお願いいたします。
本件に関するお問い合わせ先