米ヤフー、ログイン情報40万件のハッキング被害を認める

　ハッカーグループD33ds Companyは米国時間7月11日、UNIONベースのSQLインジェクション技術を使って米Yahooサービスを攻撃し、45万3492件のプレーンテキスト形式のログイン認証情報を漏えいさせたのは同グループだと主張した。その後、ウェブ大手Yahooは、アカウントが被害を受けたという訴えを調査中であるとされていた。Yahooはユーザーらに対し、念のためにパスワードを定期的に変更するよう促していた。そして今回、Yahooは情報の漏えいを認めた。

　Yahooの広報担当者はTechCrunchが入手した声明の中で、「Yahooでは、セキュリティを非常に重大にとらえており、われわれのユーザーと、われわれの全製品にわたるユーザーデータのセキュリティを確保するための保護策に多大な投資をしている」と述べた。「約40万件のYahooおよびその他の企業のユーザー名とパスワードを含む『Yahoo Contributor Network』（以前は『Associated Content』と呼ばれていたもの）からの古いファイルが7月11日に盗難にあったことを確認している。それらのYahooアカウントのうち、有効なパスワードが設定されていたのは5％未満だった。われわれは、このデータの漏えいにつながった脆弱性の修正、影響を受けたYahoo!ユーザーのパスワードの変更、ユーザーアカウントが被害に遭った可能性のある企業への通知を実施中である。影響を受けたユーザーにお詫びを申し上げたい。われわれはユーザーに対し、定期的にパスワードを変更するとともに、security.yahoo.comに記載されている当社のオンラインセキュリティに関するヒントをよく理解しておくことを推奨する」（Yahoo広報担当者）

　今回のYahooの発表で最も重要な点は、盗難にあったファイルが「古い」ものであり、その認証情報のうち有効なのは5％未満であるとYahooは考えているという点である。つまり、少なくともYahooによると、今回の漏えいによる影響を受けたユーザーは2万2500人未満であるということだ。

　アカウントが使用されていたとされるサービス「Yahoo Voices」については明示的には触れられていない点も注目に値する。Yahoo Voicesは消費者が目にする名称、Yahoo Contributor NetworkはYahooが社内で同サービスを指す名称、Associated ContentはYahooが2010年に同サービスを買収するまでに使用されていた名称であり、それらはすべて同一のものである。