コンデナスト、3,280万件超の情報を1万5,000ドルで売り出しか

Vogue、The New Yorker、GQなどを購読している方は、自分の読書傾向以上の情報がサイバー犯罪フォーラムに出回っているかもしれません。

出版大手コンデナストに関連するユーザー記録3,280万件(32,815,767件)を含むと称するデータベースが、2026年9月7日、ロシア語圏のサイバー犯罪フォーラムに出現し、1万5,000ドルの値がつけられました。 

サイバーセキュリティメディアRansomnewsがこのデータセットのうち5,000行分のサンプルを調査したところ、2025年9月から10月末にかけて収集された実在のユーザー情報であることが確認されました。WIREDに関わる230万件(2.3 million)分については2025年12月にすでに公開流出していましたが、残る3,050万件(30.5 million)については、これまで出回ったことがありませんでした。 

コンデナストは、このデータセットや売り手の主張について公式にコメントしていません。

流出データの中身

匿名の売り手は、データ一式をまとめて提供するか、あるいは先に流出したWIREDアカウント分を除いた3,045万5,594件(30,455,594件)版を提供するとしています。この数字は、「Lovely」を名乗る脅威アクターが2025年12月20日に公開した236万6,576件(2,366,576件)のWIRED記録とほぼ一致します。SecurityWeekは以前、このLovelyがコンデナストのアカウントシステムにおけるアクセス制御の不備や安全でない直接オブジェクト参照(IDOR)の脆弱性を悪用したと主張していたと報じています。

Ransomnewsはサンプルデータの検証を、内部整合性チェックによって行いました。

• データの充足率は、出品情報に記載されたプロフィールと1.2ポイント以内で一致。
• フルネームの61.9%が、併記されたメールアドレスのハンドル名と自然に一致(ランダムな組み合わせの場合はわずか0.3%)。
• Apple Relayなど比較的新しいプロバイダーを使う227件のメールアドレスは、いずれもそのサービス開始時期より前の日付になっていない。
• 米国の郵便番号の96.4%が、対応する州と正しく一致。

すべての行に一意のメールアドレスが含まれています。さらに、約31.6%には姓名が、22.3%には実際の住所が、17.5%には性別が、12.6%には生年月日が、2.9%には電話番号が含まれています。このデータセットにパスワード、パスワードハッシュ、ユーザー名、支払いカード情報は含まれていません。

出版社データが抱えるジレンマ

出版コングロマリットは、読者データベースを広告エンジンとして機能させるアーキテクチャモデルの下で運営されており、数十もの雑誌ブランドにまたがる個人の痕跡情報を一元化されたプロフィールへと集約しています。 

こうしたデータベースが侵害されると、非対称な脅威が生じます。認証情報自体は流出していないため、自動化されたセキュリティツールは即座のクレデンシャルスタッフィング攻撃として検知することができません。

その代わり、攻撃者は武器化された消費者名簿を手に入れることになります。実名と自宅の住所を特定の文化的関心と結びつけることで、悪意ある行為者は高度に標的を絞ったスピアフィッシングや郵便詐欺の手口を組み立てられます。 

The New Yorkerの購読料金に不具合があったと騙るメールや、Vogueの更新割引を宣伝する物理的なはがきは、一般的な迷惑メールよりもはるかに説得力を持って見えるでしょう。

消費者が取るべき防衛策

今回のファイルの構成を踏まえると、コンデナスト関連サイトでのパスワード変更を直ちに行う必要はありませんが、読者は次のような防衛策を講じるべきです。

• 予期しない更新通知、配送状況の連絡、購読料金に関する通知には懐疑的な姿勢で臨む。
• 不審な連絡に記載されたリンクをクリックするのではなく、ブラウザから出版社の公式サイトに直接アクセスする。
• 雑誌購読を装う郵便物には注意する。今回の流出とされるデータには、730万件(7.3 million)を超える郵送先住所が含まれている。
• 主要な個人用メールアカウントでは、他とは異なる固有のパスワードと多要素認証(MFA)を維持し、二次的なフィッシング攻撃に備える。

今回流出したとされるデータセットにパスワードが含まれていないことから、この件を受けてコンデナストのパスワードだけを変更しても、根本的なリスクには対処できない可能性があります。読者はむしろ、自分の購読内容や個人情報について不自然なほど詳しく把握しているように見えるメッセージに、特に注意を払うべきでしょう。

この種のデータの危険性は、その「文脈」にあります。詐欺師にとっては、パスワードそのものよりも、名前や住所、好みの雑誌を知っているだけで、次のフィッシングメッセージを本物らしく見せるには十分なのです。

その他のセキュリティニュース: ハッカーがGoogleの信頼されたサービスを悪用し、フィッシングリンクを偽装してMicrosoftの認証情報を窃取するとともに、一部のケースではScreenConnectをインストールして持続的なリモートアクセスを確立していることが判明しました。