- 2013年に発生したサイバー犯罪フォーラム「YouHack」への侵害で盗まれたデータが再びオンライン上に出回り、720万件のメールアドレスとパスワードの組み合わせが流出
- 流出データにはフォーラム利用者の詳細情報、ユーザー名、IPアドレス、保護が脆弱なMD5パスワードハッシュも含まれる
- 研究者は、使い回された侵害データや解読済みパスワードが、クレデンシャルスタッフィングやアカウント乗っ取り攻撃で依然として価値を持つと警告
約13年前に盗まれた大量のデータが、再びクリアウェブ上に姿を現しました。無実の被害者と悪名高いサイバー犯罪者の双方に属する数百万件のメールアドレスがオンラインで流出し、「Have I Been Pwned?（HIBP）」にも登録されました。
HIBPは、自分のメールアドレスや電話番号が既知のデータ侵害に含まれているかどうかを確認できる無料のオンラインサービスです。
HIBPは最近、約720万件のアドレスを含む新たなデータベースを追加しました。これらのアドレスは2013年5月、ロシア語圏の悪名高いハッキングフォーラム「YouHack」が正体不明の攻撃者によって侵害された際に盗まれたものでした。
流出したアーカイブには、フォーラム上で秘密情報を晒された様々な被害者のメールアドレスとパスワードの組み合わせが、約720万件含まれています。さらに、フォーラム会員10万7,000人分のメールアドレス、ユーザー名、IPアドレス、MD5パスワードハッシュも含まれており、HIBPによると、そのハッシュの「大半はソルトなし」だったということです。
ソルトなしのMD5パスワード
10年以上前のハッカーたちのメールアドレス、ユーザー名、IPアドレスに、おそらくそれほど価値はありません。サイバー犯罪者は、VPNやプロキシサービスで所在地を隠し、使い捨てメールも利用することで知られています。仮にデータが最近のものだったとしても、利用価値はせいぜい疑わしい程度でしょう。しかし、パスワードは話が別です。
私たち一般人と同じく、サイバー犯罪者も基本的なサイバーハイジーンを実践できておらず、多数のサービスで同じパスワードを使い回すことが知られています。そのパスワードがソルトなしのMD5でハッシュ化されていると、問題になります。
MD5は暗号学的ハッシュアルゴリズムで、パスワードを固定長の文字列に変換します。しかし、現在では極めて時代遅れで安全性に欠けるとみなされています。攻撃者が市販のソフトウェアやハードウェアで容易に解読できるためです。ハッシュがソルトなしの場合、問題はさらに深刻です。ソルトなしとは、ハッシュ化の前に各パスワードへ固有のランダム値を付加していないことを意味します。そのため攻撃者は、事前計算済みの参照テーブルを使い、異なるアカウント間で同一のパスワードをはるかに簡単に特定できます。いったん解読されれば、被害者が同じパスワードを使い回している他のアカウントへのアクセスに悪用される恐れがあります。
あらゆる侵害の母
The Registerによると、このアーカイブがクリアウェブに出回るのは今回が初めてではありません。2024年にも「Mother of All Breaches（MOAB）」として、容量12テラバイト、260億件のレコードが流出しました。これは数多くの異なるセキュリティインシデントを寄せ集めたもので、YouHackから入手したファイルも含まれていました。
同メディアによると、本日報じられたロシア関連のデータ侵害はこれが2件目です。同時に、2023年に発生したSberbankのロイヤルティプログラム「SberSpasibo」の侵害データも流出し、4,800万人のユーザーに関する記録が露出しました。記録には、330万件の一意なメールアドレス、電話番号、生年月日が含まれます。銀行カード番号も一部流出しましたが、ソルトなしのSHA-1ハッシュで保存されていたため、完全に露出する危険がありました。
同レポートによると、この攻撃は2017年4月から2022年2月の間に発生しました。犯行声明を出したのは、NLBと名乗る親ウクライナ派のハクティビスト組織です。同グループは、ロシア最大の民間銀行であるAlfa-Bankへの攻撃についても犯行を認めています。
確かなことは分かりませんが、今回の流出は、ロシアとウクライナの戦争がサイバー空間にも波及した結果である可能性があります。全面侵攻の開始以来、両陣営はインターネット上で応酬を続けてきました。2022年2月にはロシアがViasatの衛星通信ネットワークを攻撃し、ウクライナと欧州全域で数千もの接続が妨害されました。
ウクライナ側も、ロシアの標的に対して破壊的なサイバー作戦を実行しています。2025年12月には物流企業Eltrans+が攻撃を受け、165TBのデータが消去または暗号化され、700台を超えるサーバーが使用不能になったと報じられています。
