22億件超の流出アカウント情報、ダークウェブで一括公開

　過去10年の間にハッキングされたユーザー名やパスワード数十億件が、ダークウェブ上で発見できさえすれば誰でも手軽に一括ダウンロードできる状態になっている。

　ドイツの研究施設Hasso Plattner Institute（HPI）の研究チームによると、22億件を超えるユーザー名やパスワードがまとめられ、ハッカーがいつでも利用できるようになっているという。

22億件を超えるハッキングされたアカウントの情報がダウンロードできる状態になっている。
提供：James Martin/CNET

　集められたデータは、新たな漏えいによって得られたものではない。情報の多くは、LinkedInのアカウント情報1億件が流出したケースやDropboxの認証情報6800万件が盗まれたケースなどのハッキングによって蓄積されたものだ。どちらも、ハッキングが行われたのは2012年だ。こうした盗まれたデータは何年も前から利用できるようになっていたが、それらが巨大なコレクションにまとめられ、手軽に一括ダウンロードして使えるようになっている。

　研究チームは、これらのデータを「Collection #2」から「Collection #5」までの名称で呼んでいる。盗まれた認証情報のコレクションとしては過去最大規模となり、1月に入って「Collection #1」として公開されたメールアドレス7億7290万件に続くものだ。

　セキュリティ会社Terbium Labsでリサーチ担当バイスプレジデントを務めるEmily Wilson氏は、過去の漏えいで得られたデータの集約について、サイバー犯罪者の驚くべき新たなトレンドとなるかもしれないと述べている。

　「規模の大小にかかわらず、数千件の漏えい事件から流出したデータが常にダークウェブ上を漂っている」とWilson氏は述べた。「野心的な犯罪者がデータを集めてパッケージ化し、転売するのを止められる手立ては何もない。特に犯罪者が利益を生み出せる場合は手の打ちようがない」（同氏）

　Collection #1に含まれる認証情報の漏えいは、2008年にまでさかのぼる。2000以上の異なるウェブサイトがハッキングされ、データが集められた。その他のコレクションに含まれるデータは600Gバイト超にのぼり、この中には、2013年にMySpaceとAdobe Systemsを襲ったハッキングによるデータもある。

　盗まれた認証情報は、特にこれだけの規模であれば、極めて価値の高いものともなるが、ここ1カ月の間に突如としてダークウェブやハッカーフォーラム上に無料で公開されるようになった。金銭を求める一部のハッカーは、古い窃盗データでも有料で提供している。

　Wilson氏は次のように述べている。「これらのコレクションには十分な量の認証データセットが含まれているため、今なお有効なものも一定の割合で存在するはずで、すぐに犯罪コミュニティーの目に止まる。流出後にパスワードが変更されたアカウントでも、依然としてリスクにさらされている。メールアドレスはフィッシング攻撃の格好の標的であり、複数のプラットフォームでパスワードを日常的に使い回しているということは、危険にさらされたアカウントのパスワードを変更したとしても、流出したものと同じパスワードを使い続けているアカウントは他にもまだたくさんあるかもしれないからだ」

　大規模な流出のため、被害者のわずか0.1％でも同じパスワードを使い続けていれば、ハッカーがアクセスできる可能性のあるアカウントは220万件にもなる。

　大容量の窃盗データは、特にクレデンシャルスタッフィングと呼ばれる手法に大きな効果を発揮する。この手法は、ボットを使って複数のサービスに同じログイン情報のセットを可能な限り高速かつ大量に送りつけるというものだ。