DoorDash（ドアダッシュ）のデータ侵害、自分も被害に？確認方法と今すぐできる対処法

コロナ禍以降、DoorDash（ドアダッシュ）のようなフードデリバリーサービスの需要は急増しました。こうしたアプリには氏名や銀行関連情報など、貴重な個人情報を預けているため、「自分の情報は本当に安全なのか？」と自問してみる必要があります。

実は2019年5月、第三者によるDoorDashの大規模なデータ侵害が発覚しました。この漏洩により大量の個人情報や金融情報が流出し、多くのユーザーがサイバー攻撃のリスクにさらされることになりました。

では、自分がDoorDashのデータ漏洩の影響を受けたかどうかは、どうやって確認すればよいのでしょうか？また、万が一被害に遭っていた場合、何をすればよいのでしょうか？本記事で詳しく解説します。

DoorDashのデータ侵害とは

DoorDashが2019年9月に公式ブログで発表したこの大規模な情報漏洩では、最大420万人分のユーザー、配達パートナー（Dasher）、さらには加盟店のデータが侵害されました。

漏洩した情報には、氏名、メールアドレス、電話番号、注文履歴、そして自宅住所といったプロフィール情報が含まれていました。つまり、悪意ある第三者があなたに関するあらゆる情報――住んでいる場所まで――を把握してしまう可能性があったのです。

さらに、ハッシュ化・ソルト化されたパスワードも流出しました。ハッシュ化とソルト化は、サイトがパスワードをハッカーから守るために用いる標準的な暗号化に似た技術です。暗号化と異なり、ハッシュ化は元に戻せないように設計されていますが、それでも多くのサイバー犯罪者はハッシュ化されたパスワードすら解読する手法を見つけ出しています。

加えて、顧客のクレジットカード番号または決済情報の下4桁、そして加盟店と配達パートナーの銀行口座番号の下4桁も漏洩しました。さらに約10万人の配達パートナーについては、運転免許証番号まで流出しています。

自分がDoorDashのデータ侵害の影響を受けたか確認する方法

DoorDashは影響を受けた全員に連絡を行ったため、漏洩が発覚した頃に通知メールを受け取ったかもしれません。心当たりがない場合は、受信トレイやフォルダを見直して、見逃していないか確認しておきましょう。

今回のデータ漏洩の対象は、2018年4月5日以前にプラットフォームへ登録したユーザーです。そのため、登録日を確認することでも影響の有無を調べられます。受信トレイで登録確認メールを検索したり、アプリ内の注文履歴を確認したりしてみてください。クレジットカードの明細をさかのぼれば、初めて注文した時期を特定することもできます。

「Have I Been Pwned?」を使う

DoorDashアカウントに関連付けられたメールアドレスが、何らかのデータ侵害や漏洩に含まれていないかを確認できる便利なサイトがあります。それが「Have I Been Pwned?」です。シンプルなインターフェースで、メールアドレスを入力するだけでチェックできます。同サイトは、そのアドレスに関連する漏洩情報を含む過去のデータ侵害を検索してくれます。

また、「Pwned Passwords」サービスを利用すれば、自分のパスワードが過去のデータ侵害で流出していないかも確認可能です。今後、メールアドレスが新たなデータ漏洩に巻き込まれた際に通知を受け取りたい場合は、無料のメール通知サービスに登録しておくのもおすすめです。

その他の侵害チェッカー

Have I Been Pwned? 以外にも、「Breach Alarm」や「Dehashed」といったサービスを利用できます。Breach Alarmは、ハッカーが投稿した情報のリストと照合し、最近のデータ侵害にあなたのメールアドレスが含まれていないかをチェックします。Dehashedは包括的なデータ侵害検索エンジンで、メールアドレスだけでなく、氏名やユーザー名でも検索できます。

これらのサイトは、ディープウェブ上から収集したデータをもとに動作しています。こうしたデータは、漏洩後にハッカーによって投稿されたものです。

Googleアカウントのセキュリティチェック

Googleにも、Gmailアドレスがデータ漏洩に含まれていないかを確認する機能が用意されています。Gmailを開いたら、画面右上のプロフィールアイコンの横にある点線のボックス（グリッドアイコン）をクリックし、「アカウント」へ進みましょう。

ここでは、重大なセキュリティ問題（例：あなたのメールアドレスが最近のデータ漏洩に含まれている場合）を知らせる赤色の警告が表示されます。「対策を実行」をクリックするとセキュリティ チェックアップに移動でき、保存済みのパスワードがどの漏洩事案に該当していたのかを確認できます。ページ下部には、あなたのデータへアクセスできるサードパーティ製アプリの一覧も表示されており、不要なアクセス権はその場で削除できます。

サイバー犯罪者は私の情報で何ができるのか？

サイバー犯罪者は、盗み出した情報をダークウェブで売却します。報道によると、クレジットカード情報が紐付いたDoorDashアカウントが、数ドルという価格でダークウェブ上に出品されているとのことです。

小規模な窃盗犯であれば、無料の食事を注文する程度、場合によってはあなたのDoorDashクレジットを使うだけかもしれません。しかし、高度なスキルを持つハッカーは、メールアドレスと解読済みパスワードをまとめて大量購入します。これらは「クレデンシャルスタッフィング（パスワードリスト攻撃）」と呼ばれる手法で他のサイトに対して試され、攻撃が成功すれば銀行口座へ侵入して資金を引き出したり、クレジットカードで高額な買い物をしたり、あなたのアカウントを踏み台にして連絡先へのフィッシング攻撃を行ったりする恐れがあります。

さらに、PII（個人識別情報）はなりすましなど、より深刻な犯罪に悪用される可能性もあります。

情報が漏洩していた場合の対処法

漏洩の被害に遭っていた場合、あなたの情報はすでにダークウェブで売りに出されている可能性があります。誰かがすでにあなたの情報を入手し、攻撃の好機を窺っているかもしれません。漏洩から長い年月が経過していても、ハッカーの中には数ヶ月、ときには数年後にサイバー攻撃を仕掛ける者もいるのです。

アカウントを保護するために、まずはすぐにパスワードを変更しましょう。次に、可能であれば二要素認証（2FA）または多要素認証（MFA）を有効にします。銀行やクレジットカードの明細を見直し、見落としていた不審な取引がないか確認してください。フィッシングメールに警戒し、ウイルス対策ソフトも常に最新の状態に保ちましょう。

また、取引のある金融機関に連絡して状況を伝えることも重要です。口座に不審な取引が見つかった場合は、その口座を閉鎖して新しい口座を開設する必要があるかもしれません。さらに一歩進んだ対策として、クレジットレポートを取得する方法もあります。そこでは登録済みのすべての口座を確認でき、身に覚えのない新しい口座がないかチェックできます。必要に応じて、不正利用警告（Fraud Alert）やクレジット凍結（Credit Freeze）を申請することも可能です。

自分のデータを守ろう

DoorDashのデータ漏洩は、テック大手や人気プラットフォームであっても、情報漏洩のリスクから完全に免れることはできないという現実を突きつけました。

幸い、2019年のDoorDash漏洩で自分の情報が侵害されたかどうかを確認する手段は複数存在します。そして、万が一情報が流出していたと判明した場合にも、データを保護するために講じられる対策があります。重要なのは、迅速に行動することです。今日すぐに、パスワードの変更と認証設定の見直しから始めてみてください。