オンラインのマイクロタスクをこなすと少額の報酬が支払われるプラットフォーム「Paidwork」で情報漏えいが発生し、2,300万人を超えるユーザーの個人情報および金融情報が流出しました。
公開されている漏えい報告によると、侵入が発生したのは2026年3月で、盗まれたデータベースは4月にサイバー犯罪フォーラムで初めて売りに出されました。Paidworkの本番システムから取得したとされる11GBのダンプデータとして宣伝されていたとのことです。
流出したデータには、氏名、メールアドレスと自宅住所、電話番号、生年月日、性別、学歴情報、銀行口座番号、取引記録、デバイスおよびIP情報、プロフィール写真、個人の興味関心、そしてハッシュ化された状態で保存されていたパスワードなどが含まれているとされています。
多くのユーザーにとって、1タスクあたり数セント程度しか報酬が得られないサイトに対し、これほど機密性の高い情報を提供していたことになります。
この種の情報漏えいが重要である理由
サイバー犯罪者にとって、このようなデータセットは、標的型フィッシングやアカウント乗っ取り、なりすまし詐欺の宝庫となります。銀行口座情報や取引履歴はそのまま悪用される恐れがあり、メールアドレス、パスワードのハッシュ値、個人情報の組み合わせは、クレデンシャルスタッフィングやソーシャルエンジニアリングを容易にします。パスワードがbcryptでハッシュ化されていたとしても、強度の低いパスワードや使い回されたパスワードは解読され、他のサービスで試される可能性があります。
多くのPaidworkユーザーは、報酬額がごくわずかだったため「リスクは低い」と考え、いわゆる「使い捨て」用のメールアドレスと使い回しのパスワードで登録していたと考えられます。しかし攻撃者にとって、あなたがいくら稼いだかは関係ありません。攻撃者が気にするのは、あなたのデータを悪用してどれだけ稼げるかという点だけです。
わずかな報酬と引き換えの、何年にも及ぶリスク
今回の情報漏えいは何よりも、自分の個人情報を誰に提供しているのかを、今一度よく考え直すきっかけとなるべき出来事です。
氏名、自宅住所、生年月日、銀行口座情報を、1タスクあたり数セントしか支払われないサイトに提供する前に、その見返りに本当に見合う価値があるのかを自問してみてください。
何らかのサービスが機密性の高いデータを求めてきた場合は、そのサービスがどのようなセキュリティ・プライバシー保護の取り組みを行っているか、情報漏えいが発生した際に十分なサポートを提供してくれるか、共有する情報を必要最小限にとどめられるかを確認しましょう。判断に迷う場合は、銀行口座情報や身分証明書のコピーといった価値の高いデータは、それらを本当に必要とし、保護を怠った際に責任を問える組織にのみ提供するようにしてください。
自分のデータが流出していないか確認する
Paidworkは今回の漏えいについて公式には認めていませんが、盗まれたデータは犯罪者コミュニティ内で出回っているとされています。当社はこのデータをDigital Footprint Scanにインデックス化しており、自分の情報が流出していないかを確認できます。
Digital Footprint Scanを使えば、今回の事案に関連するデータを含め、既知の漏えいデータの中に自分のメールアドレスが含まれていないかを確認できます。該当した場合は、パニックになる必要はありませんが、以下の対策を講じることをおすすめします。
- Paidworkのパスワードを変更する（引き続き同サービスを利用している場合）。また、同一または類似のパスワードを使い回している他のアカウントについてもパスワードを変更する
- 可能な限り多要素認証（MFA）を有効にする。特にメール、銀行口座、その他の重要なアカウントでは必須。また、サイトごとに一意のパスワードを生成・保管できるパスワードマネージャーの利用も検討する
- 予期しない引き出しや不審な取引がないか、銀行口座の明細を監視する
- フィッシングメールやテキストメッセージ、電話に警戒する。サイバー犯罪者は流出した情報を使って詐欺の手口をより巧妙に見せかけてくる可能性がある
- ID監視サービスやなりすまし詐欺対策サービスの利用を検討する
サイバー犯罪者はあなたについて何を知っているのか？
Malwarebytesの無料Digital Footprint scanを使って、自分の個人情報がオンライン上に流出していないかを確認しましょう。
