ドミノ・ピザの顧客アカウントに不正アクセス、流出した認証情報を悪用

ドミノ・ピザの顧客アカウントに不正アクセス、流出した認証情報を悪用

ドミノ・ピザの顧客アカウントがクレデンシャルスタッフィング攻撃の標的となり、同社は影響を受けた顧客にセキュリティ上の注意を促すメールを送信した。ドミノ・ピザによると、今回の攻撃で同社の内部システムが侵害された事実は確認されておらず、攻撃者は他のWebサイトから流出したメールアドレスとパスワードの組み合わせを利用して、一部の顧客アカウントに不正アクセスしたという。

クレデンシャルスタッフィングは、過去に別のWebサイトやサービスから流出したユーザー名やパスワードを利用し、他のサービスへのログインを試みる攻撃手法である。複数のサービスで同じパスワードが使い回されている場合、攻撃者が正規の認証情報を利用してログインに成功する可能性がある。こうした攻撃への対策として、サービスごとに異なるパスワードを設定し、パスワード管理ツールを利用して認証情報を管理する方法が挙げられる。また、サービスが対応している場合には二要素認証（2FA）を有効にすることで、パスワードが流出した場合の不正ログインのリスクを低減できる。セキュリティ通知を受け取った際には、メール内のリンクからではなく、公式Webサイトやアプリから直接アカウントの状態を確認する方法もある。

今回の事例では、ドミノ・ピザの内部システムが直接侵害されていなくても、他のサービスから流出した認証情報が顧客アカウントへの不正アクセスに利用されることが確認された。影響を受けた顧客は、該当するアカウントのパスワードを変更するとともに、同じパスワードを使用している他のサービスについても認証情報の変更を検討する必要がある。また、アカウントの注文履歴や登録情報、不審なログインの有無を確認することで、第三者による操作が行われていないかを調べることができる。通知メールを装ったフィッシングにも注意が必要であり、不審な操作や登録情報の変更が確認された場合には、公式のカスタマーサポートを通じて状況を確認することが対応につながる。