サイバー犯罪
パスワードハッシュとソルトを手に入れた攻撃者は、すでにこれらの認証情報の解読に乗り出している可能性があります
サイバー犯罪者が、人気の釣りアプリ「Fishbrain」のユーザーが持つパスワードハッシュと対応するソルトを釣り上げてしまい、解読の試みに道を開く結果となりました。
自社アプリ「Fishbrain」を2,000万人以上の釣り人が利用していると謳うFishbrain ABは、8月19日に発生した侵害について今週、カリフォルニア州司法長官府に開示しました。
身元不明の犯人は、氏名、生年月日、メールアドレス、電話番号、Fishbrainのユーザー名、居住国情報、パスワードハッシュ、ソルトなど、ユーザーデータをごっそりとさらっていきました。
Fishbrainは開示文書[PDF]の中で、「Fishbrainのパスワードは平文で保存されていませんでしたが、一部のユーザーについては、流出したパスワードハッシュが解読される可能性があるとFishbrainは判断しました」と説明しています。
さらに同社は次のように付け加えています。「Fishbrainのパスワードを他のオンラインアカウントでも使い回している場合は、速やかにそれらのパスワードや、関連するセキュリティ質問・回答を変更してください」
「また、同じユーザー名やメールアドレスとパスワードの組み合わせを使用している他のオンラインアカウントについても、適切な保護対策を講じるべきです。各アカウントには強力で固有のパスワードを使用することを推奨します」
ハッシュとソルトを手にした攻撃者は、自前のハードウェアを使って元のパスワードを推測・復元しようと試みることができます。
その試みが成功するかどうかは、各パスワードの強度と、Fishbrainが使用していたハッシュアルゴリズム次第ですが、同社はそのアルゴリズムを明らかにしていません。
Fishbrainは、今回の侵害の規模や、自称2,000万人超のユーザーのうち何人が影響を受けたかについてはコメントしていません。
The RegisterはFishbrainに詳細情報を求めました。
侵入を発見し初期のフォレンジック調査を実施した後、Fishbrainは脆弱性を修正し、全ユーザーのパスワードをリセットしました。利用者は次回ログイン時に新しいパスワードを設定する必要があります。
Fishbrainはまた、「影響を受けた環境へのアクセスを制限した」ほか、セキュリティ管理体制を強化し、調査を継続しながら「データセキュリティ対策の広範な見直し」に着手したとしています。
釣り愛好家の皆さんは、盗まれた個人情報を悪用して後続攻撃の餌にしようとするフィッシング詐欺師にも警戒すべきでしょう。®
