オンラインでの簡単な作業をこなすとお金がもらえるプラットフォーム「Paidwork」が侵害を受け、2,300万人を超えるユーザーのデータが流出しました。
Paidworkは、広告視聴やアプリのテスト、アンケート回答といった簡単な作業をこなすことでお金を稼げるサービスをうたっており、ほとんどの作業の報酬はわずか数セント程度です。少額でもこつこつ稼ぎたいという理由でこのプラットフォームを利用しているユーザーが多いだけに、今回の情報漏洩による被害は、これまでに得た報酬をはるかに上回る代償につながりかねません。
Have I Been Pwnedによると、同サービスは7月19日にこの侵害をデータベースに追加しました。漏洩したデータは2,326万2,765人分のユーザーに及び、2026年3月に発生した侵入事件に起因するものだといいます。
報道によれば、この漏洩データベースは4月に初めて表面化し、「hackformetome」という別名を使う人物が著名なサイバー犯罪フォーラムで宣伝していました。この人物は、Paidworkの本番システムから抜き取った11GBのダンプデータであり、2,200万人を超えるユーザーの記録が含まれていると主張していました。
流出したデータは多岐にわたるとされ、ユーザーの氏名、メールアドレス、電話番号、自宅住所に加え、生年月日、性別、学歴といったより機密性の高い情報も含まれています。銀行口座番号や取引記録もこの流出データに含まれていました。
さらに、この漏洩にはデバイス情報やIPアドレス、プロフィール写真、個人の興味関心、そしてbcryptでハッシュ化されたパスワードも含まれているとされています。bcryptはほかの多くの手法に比べてはるかに強固なハッシュアルゴリズムですが、脆弱なパスワードやよく使われるパスワードが解読されないという保証にはなりません。
今のところ、Paidworkはこの漏洩疑惑について沈黙を保っており、公式な声明は出していません。
Have I Been Pwnedは、自分が影響を受けている可能性があると考えるユーザーに対し、Paidworkだけでなく、同じパスワードを使い回している他のアカウントについても、直ちにパスワードを変更するよう呼びかけています。
また、不正アクセスに対するさらなる防御策として、可能な場合は2FAを有効にすることも推奨しています。さらに、各アカウントごとに強力で一意なパスワードを生成・保管できるパスワードマネージャーの利用も勧めています。
翻訳元: https://www.helpnetsecurity.com/2026/07/20/paidwork-data-breach-23-million-users/
