NEWS

ニュース | 最新のニュースをお届けします

Gmailの認証情報500万件がオンラインで公開される

この記事をシェア

この記事は、ESETがマルウェアやセキュリティに関する情報を掲載するサイト
We Live Security」から翻訳、日本向けの解説を加えたものです。


9月9日以降にRedditなどのフォーラムに投稿された記事により、ユーザー名としてGmailアドレスを使用しているアカウントの認証情報約500万件が、オンラインで不正に公開されていることがわかりました。たとえば、finegardenz.comというサイトのニュースレターをユーザー名「gthumb99@gmail.com」、パスワード「thumbsup 」で購読している場合に、その認証情報が公開されている可能性があります。この場合は、finegardenz.comで過去に発生したハッキングが原因として考えられます。

今回、漏洩したメールアドレスとパスワードが投稿されたのは「Bitcoin Security」というロシア語のサイトです。

これまでの調査結果によると、ほとんどは5年前のパスワードでアカウントにはアクセスできないということです。ただし、一部に有効なパスワードも存在し、不正ログインの試行も報告されています。今回公開された認証情報は、近年多発しているフィッシング詐欺やマルウェアによる攻撃で収集されたものと考えられます。

自分の認証情報が漏洩しているかどうかをチェックできる「isleaked.com」というサイトも登場しましたが、現在は正常に機能していないようであり、そうでなくても信頼性に不安があります。Microsoft MVPのTroy Hunt氏が運営するサイト「Have I been pwned」でも情報漏洩を確認できますので、読者の皆さんはこちらの利用をご検討ください。

真っ先にニュース記事を公開したのはロシアのニュースサイトCNewsで、同国の人気検索エンジンYandexのケースなど最近の漏洩事件を絡めて今回の事件を報じました。その後、スペイン語、英語、ロシア語圏ユーザーの流出した認証情報が載ったスクリーンショットが、TheDailyDotで公開されています。

GoogleとYandexの広報担当者はシステムが侵害を受けた可能性を否定しており、前述したように今回の認証情報はフィッシング詐欺やユーザーアカウントへの不正アクセスにより窃取されています。つまり、認証情報を生成したシステムの不備による漏洩ではなく、システムを利用しているユーザー側の問題による漏洩なのです。

ご承知のとおり、Gmailアカウントの認証情報自体は非常に有用であり、この情報だけでGoogle+やGoogleマップなど多様なGoogleサービスを利用できます。しかし、ひとたびこの情報が漏洩すれば、それら2つのサービスにアクセスできるだけでも自宅住所や友人関係の情報が流出する可能性があります。ここで重要なポイントは、Webサイトやオンラインサービスのユーザー名としてGmailアドレスを使用する場合は、Gmailのパスワードを絶対に流用しないことです。必ず、サイトやサービスごとに異なるパスワードを使用するよう心掛けてください。

今回の報道を受け、筆者は安全のためGmailのパスワードを変更しました。面倒かもしれませんが、読者の皆さんも同様の対応をご検討ください。Googleアカウントで2段階認証も有効にしましたので、皆さんにもGoogleアカウントやGoogleと連動するその他のアカウントで2段階認証を有効にすることをおすすめします。たとえば、次のような人気サービスがこの認証方式(2要素認証と言う場合も)に対応しています。

Google
Facebook
Twitter
Dropbox
Lastpass
Github
AWS

さて、今回の記事はお役に立ちましたでしょうか。個人情報を公開した犯人が早期に逮捕されることを切に願っています。こうした行為はほとんどの国で違法であり、どの国であろうとあってはならないことです(サイバー犯罪への積極的な対応を政府に迫る必要性については最近の記事で説明したばかりです)。

今回の事件を早期に報告し、自ら調査も実施したESETラテンアメリカのSabrina Pagnottaに深く敬意を表します。

この記事をシェア

業務PCのセキュリティ対策に

マルウェア情報局の
最新情報をチェック!