ギグエコノミー向けプラットフォームPaidworkが、2330万件のアカウントに影響する大規模なデータ侵害に見舞われたことが明らかになりました。約11GBのデータセットが関与するこの事件では、データが2026年7月に一般公開されています。
この事件は7月19日にHave I Been Pwned(HIBP)の侵害データベースに登録されました。侵害自体は2026年3月に発生したとみられています。
Paidworkのデータ侵害
この侵害が最初に明るみに出たのは3月のことで、ある脅威アクターがハッキングフォーラム上で、約2200万人のPaidworkユーザーの情報を含むと称するデータベースを売りに出していました。
当時、研究者たちが確認できたのは限定的なSQLダンプのサンプルのみでした。そのため、販売者が主張する被害者数やデータセットの完全性について、独自に検証することはできませんでした。Paidworkはコメントを求められた際、この侵害疑惑について肯定も否定もしていませんでした。
その後、このデータが一般公開されたことで、事件の深刻度は大幅に増しました。HIBPによると、流出したアーカイブには2300万件を超えるユニークなメールアドレスに加え、多岐にわたる個人情報、業務情報、金融情報が含まれていました。
この侵害の詳細情報では、流出したデータのカテゴリーとして、銀行口座番号、金融取引の詳細、ワーカーへの支払い履歴、氏名、メールアドレス、電話番号、住所、生年月日、性別、学歴、個人の興味関心、プロフィール写真、IPアドレス、デバイス情報が挙げられています。
銀行関連の記録や支払い情報が流出したことで、Paidworkユーザー、特に紐付けられた銀行口座や決済プラットフォームを通じて報酬を受け取っているフリーランサーやマイクロタスクワーカーにとって、即座に詐欺被害に遭うリスクが生じています。
攻撃者は、個人情報や連絡先情報、取引記録、雇用情報を悪用して、巧妙なフィッシング詐欺を仕組んだり、サポート担当者になりすましたり、アカウント復旧プロセスを狙ったり、支払い先を不正に誘導する詐欺を試みたりする可能性があります。
Cybernewsは、このような部分的なデータセットであっても、なりすまし犯罪やソーシャルエンジニアリング、金融詐欺、さらには後続攻撃のための偵察活動を助長しかねないと警告しています。
パスワードデータは平文ではなく、bcryptハッシュとして保存されていたと報告されています。bcryptは、大規模なオフライン総当たり攻撃によるパスワード解析のコストを大幅に引き上げるよう設計されたパスワードハッシュ方式です。ただし、これによってリスクが完全になくなるわけではありません。脆弱なパスワードや推測しやすいパスワード、あるいは過去に流出したことのあるパスワードは、オフラインでのパスワード推測攻撃によって依然として解読される恐れがあります。
したがって、メールやオンラインバンキング、SNS、その他のサービスでPaidworkと同じパスワードを使い回している場合、そのパスワードはすでに漏洩したものとみなし、ユーザーは直ちに変更することが推奨されます。
影響を受けたユーザーは、Paidworkのパスワードをリセットするとともに、使い回している認証情報についても、パスワードマネージャーで管理する固有のランダムなパスワードに置き換える必要があります。
また、利用可能な場合は多要素認証を有効にし、銀行口座や支払い履歴に不審な動きがないか監視するとともに、Paidwork利用履歴や収入、口座残高、個人情報に言及する不審なメッセージについては、フィッシング詐欺の可能性があるものとして扱うべきです。HIBPは、流出したパスワードを使用していたすべてのアカウントでパスワードを変更し、二要素認証を有効にすることを推奨しています。
業務委託や広告出稿のためにPaidworkを利用している組織は、影響を受ける可能性のある担当者に通知するとともに、支払い変更時の確認手続きを見直し、ビジネスメール詐欺(BEC)や給与の不正な振込先変更の試みに対する監視を強化する必要があります。
詳細な個人情報と金融関連の文脈情報が組み合わさっていることで、この侵害データは、正規のものに見せかけた詐欺的な連絡を作成しようとする犯罪者にとって、とりわけ価値の高いものとなっています。
脅威検知と迅速な調査を加速し、SOCを強化しましょう。 -> ANY.RUNを貴社のSOCと統合する Now.
翻訳元: https://gbhackers.com/paidwork-data-breach-exposes-23-3-million-accounts/
