Canvaセキュリティインシデント– 5月24日よくあるご質問

——

ページ更新日：1月17日、9:21（日本時間）

2020年1月11日、Canvaは、5月24日の侵害の一環として盗まれたユーザーパスワードを含む約400万のCanvaアカウントのリストの存在を認識しました（6月1日9:13 JSTの下記注釈を参照）。パスワードの暗号が解除され、最近ネット上で共有されていました。

変更されていないパスワードは今後使用される可能性があるため、パスワードが変更されていないアカウントについては、直ちに Canva アカウントへのアクセス制限をして、無効化されています。アカウントが無効化された場合、Canvaユーザーのアカウントにパスワード再設定の通知を行いました。

悪意のある人物が当社の暗号化されたパスワードデータにアクセスし、その情報をインターネット上で公開してから7か月が経ちました。その間、彼らは独自のリソースを使ってパスワードを解読しようとしていたようです。2019年5月のインシデントの影響を受けた約400万のCanvaアカウントは、現在、パスワードの暗号化が解除されています。

過去7か月間、影響を受けたユーザーの皆様に、アカウントを保護する方法をお知らせすべく、さまざまな方法で連絡を行ってきました。その期間中にCanvaのパスワードを変更した場合は、再度変更する必要はありません。

2020年1月12日付で、2019年5月24日以降にパスワードを変更していないすべてのユーザーのパスワードをリセットしました。これらのユーザーは、次回Canvaにログインする際にパスワードの変更を求められます。パスワードを強制的にリセットしているため、パスワードがリセットされた最近アクティブなCanvaユーザーにも直接通知が行われています。

また、Canva以外のサービスにて同じパスワードが使用されているユーザーを保護するために、同じパスワードを使用することの注意喚起を促す連絡をCanvaユーザーにご連絡しています。

影響を受けるユーザーは、Canva を引き続き使用するには、新しいパスワードを設定する必要があります。パスワードがリセットされた場合、アカウントが攻撃者によってアクセスされたことを意味するものではありませんのでご注意ください。私たちはお客様のCanvaアカウントを保護するためにこれらの予防措置を講じています。

こちらのパスワードガイドラインに従ってください。改めて、次の内容を確認していただくことをおすすめし

• 複数の文字種（大文字、小文字、数字、特殊文字）の組み合わせでパスワードを推測するのが難しい文字列を作成してください。
• パスワードマネージャーを使用して、すべてのインターネットサービスで利用しているパスワードを管理してください。
• パスワードを使い回しせず、他のサイトやアカウントで使用されたことのない安全なパスワードを使用してください。

有効なメールアドレスを持つユーザーは、通常のパスワード リセット手順を使用してパスワードを復旧できます。有効なメールアドレスを持たないユーザーは、 手動による復旧手順を使用する必要があります。

ご不便をおかけして申し訳ございませんが、今後ともご協力をお願いいたします。

Sebastian Welsh（

——

ページ更新日付8月10日、22:25（日本時間）

最近、一部のユーザーが、2019年5月24日に発生したセキュリティ侵害について、haveibeenpwned.com（HIBP）およびFirefox Monitorから通知を受けとりました。この攻撃に関する当社の対応、対策についての詳細はこちらをご覧ください（6月1日9:13 JSTの下記の注意を参照）。

通知された内容は正確であり、HIBPとFirefox Monitorには感謝しています。

Canvaアカウントをお持ちの一部の方には、今回の通知でご心配をおかけいたしました。セキュリティインシデントの発生はとても残念なことでございます。インシデント対応の一環として、当社が最初にしたことの1つは、影響を受けるユーザーさまにメールおよびアプリ内アラートを介して通知をすることでした。

HIBPの通知により、一部のユーザーさまからパスワードが漏洩されたかどうかお問い合わせをいただきました。パスワードそのものは漏洩していません。アクセスされたのは、saltを付与してbcryptでハッシュ化されたパスワードでした。これは、現在のもっとも処理能力が高いパソコンであっても、パスワードを元のパスワードに戻すのが非常に難しい、非常に安全な暗号化技術です。

当社のパスワードの保存方法によって、パスワードの推測は驚異的に難しくなりますが、推測が容易なパスワード（password1、123456!、Alex1997など）であれば不可能ではありません。そこで、Canvaやその他のユーザーを保護するために、すべてのユーザーにCanvaでのパスワードの変更、また他のサイトで同じパスワードを使用している場合は、それらも変更することを要請しました。すべてのユーザーがこのリスクを回避できるよう、1Passwordと提携して、パスワードマネージャーサービスへの無料アクセスを1年間提供したり、Canva内でより強力なパスワードチェックを実装したりしました。

このインシデント以来、当社はお客様のデータを保護するためにいくつかの内部変更を導入しました。大手サイバーセキュリティコンサルタント会社のMandiant社やその他のパートナーと緊密に協力しながら、攻撃の範囲や原因を特定し、システムに変更を加えて、ユーザーのために保護層を追加構築しました。今回のインシデントの事後調査については追ってご報告いたしますが、それまでの間、さらに質問がある場合や、お客様のデータの安全性を確保するために行ったCanvaの対策について詳しく知りたい場合は、お気軽にお問い合わせください。

——

6月1日、9:13（日本時間）

サイバーセキュリティの専門家との調査の結果、今回の問題の影響に対して明確になって点がございますため、コミュニティにできる限り多くの情報を共有させていただきます。

2019年5月24日金曜日に、当社はシステムに対する悪意のある攻撃を検出しましたが、発生と同時に中断させることができました。当社としての最初の対応は、Canvaをロックダウンした後、当局とユーザーに侵害が発生したことを通知することでした。侵入者は攻撃の途中で中断されたため、一般的なセキュリティインシデントとは異なる戦術を採用して、攻撃の様子をツイートしており、迅速なコミュニケーション対応が必要でした。

それ以来、ユーザーの保護のため、私たちはFBIなどのサイバーセキュリティの専門家や当局と協力しています。そして、以下が最新情報となります。

• 彼らは、最大1,390万人のユーザーのプロフィールデータベースから情報にアクセスしました。プロフィールデータベースには、ユーザー名、氏名、電子メールアドレス、国名、およびオプションとして、ユーザーが提供した都市名やホームページのURLが含まれていますが、これらは公開されたプロフィールを通じて入手できます。
• 彼らは、ユーザ名/パスワードでログインしているユーザの暗号保護されたパスワード（すべてのパスワードはsaltを付与してbcryptでハッシュ化されています。）にアクセスしました。
• 攻撃者は、Google経由でサインインしたユーザーのOAuthのログイントークンを入手したと主張しました。当社のOAuthトークンはAES128で暗号化され、暗号化キーは別の場所に安全に保管されています。彼らがOAuthトークンをダウンロードしたり、鍵にアクセスしようとした証拠は見つかっていません。
• 彼らは、クレジットカードや決済データの一部が入ったファイルを短時間閲覧しました。これらのファイルが盗まれたという証拠は見つかっていません。ファイルには、2016年9月28日以前のクレジットカードデータの一部（氏名、有効期限、下4桁、カードブランド、カード国）と、2017年9月16日以前の支払い履歴が含まれており、ユーザーと寄稿者の一部の支払いについて、取引金額、日付、IDが記載されていました。これらの限定されたカード情報では、支払いを行うことはできません。Canvaがクレジットカード情報全体を保管することはありません。

デザインと画像は別のシステムに安全に保管されています。デザインデータへアクセスがあったような形跡は確認されていません。

当社はセキュリティ面に対し、多額の投資を続けています。調査完了後、今回の事件の技術的な事後報告を公表するつもりです。当社の最優先事項は、ユーザーを保護することです。対応内容は以下の通りです。

• ユーザーへの通知:影響を受けたことをユーザーに知らせます。 Eメールで直接ユーザーに連絡しましたが、一部のユーザーには期限切れまたは登録Eメール間違えが含まれていたため、アプリ内通知とプレスを使用してユーザーに通知しています。 どのデータにアクセスしたかを説明するメールを各ユーザーへ通知しています。
• パスワードの変更を促す:攻撃前にパスワードを設定していたすべてのユーザーに変更を依頼し、ユーザーがより強力なものを設定できるようにルールを追加しています。
• OAuthトークンのリセット:パートナーと協力して、攻撃前に存在していたすべてのアクティブなログイントークンがリセットされるようにしました。 対象のユーザーには、Canvaアカウントに再接続するよう求めるメッセージが表示されます。
• パートナーとの連携:攻撃に関する情報の共有、ユーザーへのリスクの特定、および対応の調整を行うために、パートナー機関と協力しています。 たとえば、攻撃者がCanvaユーザーに対してフィッシングを行うことをより困難にするよう、主要プロバイダーの不正使用対策チームに通達しています。
• 1 Passwordと提携：ユーザーが使用している各サイトごとに異なるパスワードを使用することを推奨していますが、それが難しいことはわかっています。 1 Passwordと提携し、サービスをまだ使用していないCanvaユーザーに1年間無料で提供しています。

• パスワードを変更する： Canvaのパスワードをお持ちであり、まだ変更していない場合は、Canvaのパスワードを変更することを皆さまに推奨いたします。他のサイトで同じパスワードを使用している場合は、それらも変更する必要があります。
• 疑わしいメールを報告する：念のため、不審なメールには警戒なさってください。 攻撃者は多くの場合、巧妙な方法でユーザーを欺き、個人情報を手に入れようとします。 疑わしいと思われるメールを受け取った場合は、クリックしたり返信したりしないでください。 そのようなメールはメールプロバイダーに報告することをお勧めします。
• パスワードマネージャーを使用する： 1 PasswordやGoogle Chromeなどのパスワードマネージャーを使用して、使用している各サイトで一意かつ安全なパスワードを作成し、記憶することを推奨します。
• Google/Facebookログインが切断された場合に更新する: FacebookまたはGoogle使用してサインインしている場合、こちら側でログインをリセットしている場合があります。 その場合は、再度ログインをしてください。
• 連絡先の詳細を更新する: Canvaにログインしたら、連絡先の詳細を追加または更新してください。そうすれば、常にアカウントについて連絡できるようになります。

皆様にご迷惑とご不便をおかけしていることを深くお詫び申し上げます。今回の事象で、皆様に動揺を与えたことを理解しております。今まで築いてきた皆様との信頼を再構築し、回復するために、最大限の努力をいたします。

Sebastian Welsh（