ギグエコノミープラットフォームPaidworkで大規模なデータ漏洩が発生し、2,300万人を超えるユーザーの個人情報および金融情報が流出しました。今年ギグワーク業界を襲った漏洩事案としては最大級のものとなっています。
Have I Been Pwnedによると、流出したデータセットには銀行口座情報や広範な個人情報、さらにパスワードハッシュも含まれており、世界中の対象ワーカーにとって重大な懸念材料となっています。
この漏洩は2026年3月に初めて表面化しました。脅威アクターがPaidworkからデータを窃取したと主張し、ダークウェブフォーラムで販売用に出品したのです。
事態は2026年7月にさらに悪化し、窃取されたとされるデータのうち約11GBが一般公開されました。これにより、流出したデータの中に2,300万件を超えるユニークなメールアドレスが含まれていることが確認されています。
今回の公開ダンプは、脅威アクターが買い手を見つけられなかったか、あるいは非公開での販売を通じて先にデータを収益化した後に公開に踏み切ったことを示唆しています。これは大規模な漏洩データの流通において、よく見られるパターンです。
流出したデータセットは、Paidworkのプラットフォーム運営に紐づく幅広いセンシティブ情報のカテゴリーに及んでいます。これには銀行口座番号や金融取引記録、ギグワーカーへの支払い履歴が含まれます。
氏名、生年月日、性別、メールアドレス、電話番号といった個人識別情報も流出したほか、住所、IPアドレス、デバイス情報も含まれていました。さらに漏洩範囲には学歴、個人の興味・関心、プロフィール写真、そしてbcryptハッシュとして保存されていたパスワードも含まれています。
bcryptはMD5やSHA-1といった脆弱な代替手段と比較すれば、比較的強固なハッシュアルゴリズムとされています。しかしそれでも、パスワードが漏洩の危険から完全に免れるわけではありません。
十分な計算リソースを持つ攻撃者であれば、特に脆弱なパスワードや使い回されたパスワードに対して、オフラインでのブルートフォース攻撃や辞書攻撃を試みることが可能だと、Have I Been Pwnedは指摘しています。
銀行情報、取引履歴、個人識別情報の組み合わせは、詐欺やフィッシング、なりすましにとって非常に価値の高いデータセットとなります。Paidworkのようなプラットフォーム上のギグワーカーは、収入の直接入金をプラットフォームに依存していることが多いため、銀行情報の流出は特に危険性が高いといえます。
攻撃者はこの情報を悪用し、アカウント乗っ取りの試みや、支払い先変更を狙ったソーシャルエンジニアリング、あるいは複数の個人情報を組み合わせた合成ID詐欺に利用する可能性があります。
学歴や興味・関心、デバイス情報まで含む広範な個人情報の流出は、標的を絞った高度なフィッシングキャンペーンへの懸念も高めています。攻撃者は流出したプロフィール情報を使って、非常に説得力のある口実を作り上げることができるためです。
影響を受けたユーザーは、直ちにPaidworkのパスワードを変更するとともに、同じパスワードを使い回している他のアカウントについても変更する必要があります。対応している場所では二要素認証を有効にすることで、パスワードだけに頼らない重要な防御層を追加できます。
銀行情報が流出していることを踏まえ、ユーザーは銀行口座や取引明細についても、不正な取引がないか注意深く監視するべきです。
本記事公開時点で、Paidworkは漏洩の範囲を確認する公式声明や、影響を受けたユーザーへの直接的な通知を行っていません。セキュリティ研究者たちは、このデータセットのさらなる拡散がないか、引き続きダークウェブフォーラムを監視しています。
より強固なプロアクティブ防御で、重大インシデントと金銭的損失を未然に防ぎましょう。15,000のSOCが利用するライブ脅威フィードを統合する
翻訳元: https://cyberpress.org/paidwork-data-breach-exposes/