atwiki問題に対する公式発表。ウイルスやスクリプト改竄は心配ない模様

公開日： 2014/03/19 : 新着情報

atwiki問題の公式回答です。

騒がれた内容→@wikiが現在危険な状況！艦これもatwikiで運営されているwikiがあるので注意

以下、公式HPより引用。（まとめは下。）

↓↓

いつも@wikiをご利用頂きありがとうございます。
この度、ユーザ用の管理情報およびデータの流出が確認されました。
ご迷惑をおかけし、誠に申し訳ございません。

緊急的措置として全ユーザのパスワードを強制的にリセットさせて
頂いております。お手数ですが、パスワードの変更をお願いいたします。
パスワード変更の方法につきましては、以下の通りお願いいたします。

１，パスワード再発行フォーム
よりパスワード再発行ください。
２，管理画面より再度ご自身でパスワード変更いただけますよう
お願いいたします。

なお、流出した個人情報およびセキュリティ上重大と考える範囲内は以下のとおりです。

※流出内容
ユーザID
パスワード（暗号化されています）
メールアドレス
登録時のIP

※影響範囲
現在登録中のユーザ全員

パスワードは単一方向の暗号方式を用いておりますが、
暗号化されたパスワードから元のパスワードを推測し難い状況です。
ただ、特定のサイトで単一方向の暗号方式を元に戻すサービスもあると伺っております。
念のため、パスワードの再設定をお願いいたします。

なお、クレジット番号、住所、氏名につきましては
管理情報として登録されておりませんので、流出はございません。
お手数ですが、念のため、パスワードの変更お願いします。

本件につきましては多大なご迷惑をおかけし、まことに申し訳ございません。
重ねてお詫び申しあげます。

何か質問等ございましたら、サポートまでフォームからお問い合わせください。

2014年03月09日 14時24分追記

ユーザ用の管理情報およびデータの流出を確認したサーバは以下の通りです。
パスワードを再発行される場合は、異なるパスワードで登録いただけますよう
お願いいたします。@wikiでのパスワード再発行の手順は下部に記載いたします。
なお、@wikiにご登録のパスワードを他のシステムなどで使いまわしされている場合は、
他のシステムでも同様にパスワードを変更ください。
他のシステムでのパスワードの変更方法は各システムのサポートにご確認ください。

データの流出が確認したサーバ
www4.atwiki.jp
www17.atwiki.jp
www26.atwiki.jp
www30.atwiki.jp
www36.atwiki.jp
www37.atwiki.jp
www38.atwiki.jp
www39.atwiki.jp
www40.atwiki.jp
www41.atwiki.jp
www42.atwiki.jp
www43.atwiki.jp
www44.atwiki.jp
www45.atwiki.jp
www46.atwiki.jp
www47.atwiki.jp
www48.atwiki.jp
www49.atwiki.jp
www50.atwiki.jp
www51.atwiki.jp
www52.atwiki.jp
www53.atwiki.jp
www54.atwiki.jp
www55.atwiki.jp
www56.atwiki.jp
www57.atwiki.jp
www58.atwiki.jp

@wikiのパスワード再発行の手順
１，http://atwiki.jp/forgetpw.php
よりパスワード再発行ください。
２，管理画面より再度ご自身でパスワード変更いただけますよう
お願いいたします。

本件につきましては多大なご迷惑をおかけし、まことに申し訳ございません。
重ねてお詫び申しあげます。

何か質問等ございましたら、サポートまでフォームからお問い合わせください。

2014年03月09日 19時00分追記

現在、ユーザ情報流出につきまして警察に相談を行いました。
今後につきましては、警察と相談の上、進めてまいります。

再掲となりますが、流出したパスワードにつきまして
単一方向の暗号方式を用いておりますが、
暗号化されたパスワードから元のパスワードを推測し難い状況です。
念のため、@wikiにご登録のパスワードを他のシステムなどで使いまわしされている場合は、
他のシステムでも同様にパスワードを変更ください。
他のシステムでのパスワードの変更方法は各システムのサポートにご確認ください。

各wikiのメンバーのパスワードについて
各wikiのメンバーのパスワードの再発行や変更はできません。
お手数ですが、再度メンバー登録いただけますようお願いいたします。
管理者様におきましては、不要となる旧メンバーアカウントを削除と
新メンバーアカウントの承認をいただけますようお願いいたします。

ファイルの改ざんについて調査/対策を行っております。
現在のところ、弊社で把握している点は以下の通りです。

１．一部のサーバのwikiにおいて、リダイレクトするスクリプトを
設置されたことを確認致しております。現地点で改ざんされたと
把握できたページにつきましては、対応を完了いたしております。

２．一部のサーバのwikiパスワード再発行ページにおいて、
ページの改ざんされたことを確認しております。現地点で改ざんされたと
把握できたページにつきましては、対応を完了いたしております。

３．インターネットの一部のサイトでJavascriptの改ざんがされたという記述が
見受けられます。弊社で調査いたしましたが、現在のところ、
改ざんは確認されていません。

４．インターネットの一部のサイトで@wikiにウイルスが仕込まれたという記述が
見受けられます。弊社で調査をいたしましたが、現在のところ、
ウイルスやウイルスによる通信は確認しておりません。

５．インターネットの一部のサイトで@wikiへアクセスすると、
open2ch様へ攻撃するという記述が見受けられます。
open2ch様に確認いたしましたところ、
現地点で、@wiki経由で攻撃は無いとご返答いただきました。

本件につきましては多大なご迷惑をおかけし、まことに申し訳ございません。
重ねてお詫び申しあげます。

何か質問等ございましたら、サポートまでフォームからお問い合わせください。

2014年03月10日 20時00分追加

1.ウイルス疑惑について
一部のサイトで、@wikiの各サイトにウイルスが混入していると見せかけた
画像が出回り、情報が錯綜しております。
引き続き調査をしておりますが、現在のところ、
ウイルスは確認されておりません。引き続き調査して参ります。

2.Javascriptの改ざん疑惑について
引き続き弊社で調査をしておりますが、現在のところ、
改ざんは確認されていません。引き続き調査して参ります。

3.@WIKI登録時のユーザ名について
第一報で公開いたしました「ユーザ名」ですが、@wiki登録時にある

「■ご希望のURLを入力 (半角英数字のみ入力できます)」

となります。ユーザ様の氏名ではございません。
また、会員登録にユーザー様の氏名を頂戴しておりません。
誤解を招く表現をし、誠に申し訳ございません。

4.クレジットカード番号の流出疑惑について
一部のサイトで、クレジットカード番号が流出したと書かれておりますが、
@WIKI会員登録に、ユーザ様のクレジットカード番号を頂戴／保存しておりません。
そのため、クレジットカード番号の流出はございません。

5.wikipediaと@wikiについて
一部のユーザ様からお問い合わせがございますが，
wikipediaと@wikiは類似のwikiという仕組みを利用しておりますが
関係ございません。
@wikiは、wikipediaのように誰でもwebページを作成/編集できる
システムの無料ホスティングサービスです。

2014年03月12日 21時00分追記

=+=+=+=+=+=+=+=+=+=+=+=+=+=+=+=+=+=+=+=+=+=+=+=+=+=+=+=+=+=+=+
1.データの流出が確認したサーバについて
=+=+=+=+=+=+=+=+=+=+=+=+=+=+=+=+=+=+=+=+=+=+=+=+=+=+=+=+=+=+=+

ユーザ用の管理情報およびデータの流出を全サーバーで確認いたしました。
管理情報は以下の通りです。
メールアドレス
暗号化済みパスワード
メールアドレス
登録時のIPアドレス
前回のご報告にもありますよう、氏名・住所等の個人情報に当たる情報はございません。

=+=+=+=+=+=+=+=+=+=+=+=+=+=+=+=+=+=+=+=+=+=+=+=+=+=+=+=+=+=+=+
2.各wikiデータ流出について
=+=+=+=+=+=+=+=+=+=+=+=+=+=+=+=+=+=+=+=+=+=+=+=+=+=+=+=+=+=+=+

2014年03月09日以前の一部のwikiデータが流出しておりました。

＜流出内容＞
メンバーのメールアドレス
メンバーの暗号化されたパスワード
wikiページ内容
wikiページ編集時のIPアドレス

前回のご報告にもありますよう、氏名・住所等の個人情報に当たる情報はございません。

=+=+=+=+=+=+=+=+=+=+=+=+=+=+=+=+=+=+=+=+=+=+=+=+=+=+=+=+=+=+=+
3.現在の対応状況について
=+=+=+=+=+=+=+=+=+=+=+=+=+=+=+=+=+=+=+=+=+=+=+=+=+=+=+=+=+=+=+

直接原因となったプログラムは削除いたしました。
また、プログラムを設置できた直接的な脆弱性は修正いたしました。
それに伴う、直接的なセキュリティホールも修正いたしました。
引き続き、間接的な部分の調査をおこなってまいります。

=+=+=+=+=+=+=+=+=+=+=+=+=+=+=+=+=+=+=+=+=+=+=+=+=+=+=+=+=+=+=+
4.FTPの一時停止について
=+=+=+=+=+=+=+=+=+=+=+=+=+=+=+=+=+=+=+=+=+=+=+=+=+=+=+=+=+=+=+

現在メンテナンスをしており、FTPを一時停止させていただいて
おります。ご了承のほど、よろしくお願いいたします。

=+=+=+=+=+=+=+=+=+=+=+=+=+=+=+=+=+=+=+=+=+=+=+=+=+=+=+=+=+=+=+
5.弊社他サービスとのパスワード共有疑惑について
=+=+=+=+=+=+=+=+=+=+=+=+=+=+=+=+=+=+=+=+=+=+=+=+=+=+=+=+=+=+=+

一部の報道で、弊社の@wikiのパスワードと他のサービスでのパスワードが
共有されているという報道がございましたが、共有はしておりません。

過去に共有すれば便利になると社内で検討はいたしましたが、開発を
断念しております。誠に申し訳ございません。

=+=+=+=+=+=+=+=+=+=+=+=+=+=+=+=+=+=+=+=+=+=+=+=+=+=+=+=+=+=+=+
6.ウイルス疑惑について
=+=+=+=+=+=+=+=+=+=+=+=+=+=+=+=+=+=+=+=+=+=+=+=+=+=+=+=+=+=+=+

一部のサイトで、@wiki内にウイルスが混入しているかのような
誤解を招くような画像や情報が報じられています。
しかしながら、現在のところ、ウイルスは確認されておりません。
引き続き調査して参ります。

=+=+=+=+=+=+=+=+=+=+=+=+=+=+=+=+=+=+=+=+=+=+=+=+=+=+=+=+=+=+=+
7.Javascriptの改ざん疑惑について
=+=+=+=+=+=+=+=+=+=+=+=+=+=+=+=+=+=+=+=+=+=+=+=+=+=+=+=+=+=+=+

引き続き弊社で調査をしておりますが、現在のところ、
改ざんは確認されていません。引き続き調査して参ります。

2014年03月14日 22時00分追記

=+=+=+=+=+=+=+=+=+=+=+=+=+=+=+=+=+=+=+=+=+=+=+=+=+=+=+=+=+=+=+
1.ウイルス疑惑について
=+=+=+=+=+=+=+=+=+=+=+=+=+=+=+=+=+=+=+=+=+=+=+=+=+=+=+=+=+=+=+

事件発生以後、調査をして参りました。
念のため、@wiki全サーバに対してウイルススキャンを行いましたが、
ウイルスは確認されませんでした。

=+=+=+=+=+=+=+=+=+=+=+=+=+=+=+=+=+=+=+=+=+=+=+=+=+=+=+=+=+=+=+
2.Javascriptの改ざん疑惑について
=+=+=+=+=+=+=+=+=+=+=+=+=+=+=+=+=+=+=+=+=+=+=+=+=+=+=+=+=+=+=+

事件発生以後、調査をして参りましたが、Javascriptの改ざんはないと
確認できました。

=+=+=+=+=+=+=+=+=+=+=+=+=+=+=+=+=+=+=+=+=+=+=+=+=+=+=+=+=+=+=+
3.登録メールアドレスが現在利用できない場合について
=+=+=+=+=+=+=+=+=+=+=+=+=+=+=+=+=+=+=+=+=+=+=+=+=+=+=+=+=+=+=+

ユーザー様より登録メールアドレスが現在利用できないので、
パスワードが再発行できないというお問い合わせを多く頂いております。

当サポートといたしましては、できる限りの対応をさせて頂きたく存じます。
順次個別に状況等お伺いして、対応してゆきます。
このため、お時間を要する可能性が予想されます。

登録メールアドレスを現在利用できない状況にある管理者様におきましても
まずは、お問い合わせフォームより、以下の情報をお送りください。

登録されていたURL
登録していたと記憶されているメールアドレス
新しく変更をご希望されるメールアドレス
その他参考となる情報

お問い合わせフォーム

http://desk.atfreaks.com/tickets/form/atwiki

=+=+=+=+=+=+=+=+=+=+=+=+=+=+=+=+=+=+=+=+=+=+=+=+=+=+=+=+=+=+=+
4.FTP接続再開について
=+=+=+=+=+=+=+=+=+=+=+=+=+=+=+=+=+=+=+=+=+=+=+=+=+=+=+=+=+=+=+

FTPの接続を再開いたしました。FTPをご利用になる前に、一度ブラウザから
wikiにログインしてください。

ブラウザからログイン後にFTPの接続が、再開されます。
引用：@wikiご利用ガイド
（※公式HPへのリンクです）

つまりどういうことだってばよ？

→メアドやIP、パスワードなどは流出したもののクレカ情報など個人を特定出来るような情報は流出していない。

→また、ウイルスやスクリプトの改竄は見られない。