Google、Gmail侵害報道を「大げさ」と否定

火曜日、大規模なGmail侵害の主張が報道されると、フィッシングメールよりも早くパニックが広がりました――しかしGoogleは「全くのデタラメだ」と述べています。

広告大手のGoogleは、「大規模なセキュリティ侵害」により1億8300万件以上のGmailアカウントが危険にさらされたという報道を素早く否定しました。The Daily Mail、The Mirror、Forbes、The Independent、New York Postなど多くのメディアで取り上げられたこの主張について、Googleは「誤り」だとし、侵害の証拠ではなく、古い再利用された認証情報の誤解が騒動の原因だと説明しました。

混乱は、Have I Been Pwned（HIBP）の創設者トロイ・ハント氏が183百万件の認証情報を新たにデータベースに追加したと発表したことから始まったようです。このデータは、インフォスティーラーマルウェアのログから情報を収集・分析する脅威インテリジェンスプラットフォームSynthientによってハント氏に共有されました。ハント氏がブログで説明した通り、このコレクションは単一の新たな侵害ではなく、長年にわたるインフォスティーラーの活動を反映したものであり、Gmailへの標的型攻撃では決してありません。

GoogleもXで同様の見解を示しました。「『数百万人のユーザーに影響するGmailのセキュリティ侵害』という報道は事実ではありません。Gmailの防御は強固であり、ユーザーは保護されています」と同社は述べています。また、ネット上で流通しているデータについて「これはインフォスティーラーデータベースの誤解に起因しており、これらはウェブ上で発生する様々な認証情報の窃取活動を日常的に集約したものです」と付け加えました。

インフォスティーラーデータベースは、感染したブラウザやフィッシングキット、クラックソフトウェアから継続的に集約されており、多くのユーザーがGmailアドレスをネット上で使い回しているため、しばしばGmailアドレスが含まれます。こうしたコレクションが再浮上すると、それが新たな侵害だと誤解されたり、センセーショナルに報じられたりすることがよくあります。

Googleは、盗まれた認証情報の大規模なキャッシュを定期的にスキャンし、必要に応じて影響を受けたユーザーにパスワードのリセットを促していると述べています。「Gmailは大量の公開認証情報を発見した際、ユーザーにパスワードのリセットやアカウントの再保護を促す措置を講じています」と同社は説明しました。

ハント氏も、いわゆる「侵害」が広く報道されたことに困惑しています。「彼らは意図的に誤解を与え、広告の閲覧数を稼ぐために真実を記事の下の方に埋もれさせているのだと思います」と述べました。

ユーザーにとって重要なのは、二段階認証を有効にし、可能であればパスキーに切り替え、侵害通知に表示されたパスワードは更新することです。

それでも今回の件は、ひとつの微妙なデータポイントがいかにして「大規模侵害」という見出しに変わるかを示しています。今回本当に侵害されたのは文脈――そして、おそらく一部編集者の「漏洩」の理解だったのかもしれません。®