忘れたMySpaceアカウントがあなたの秘密を漏らしている――放置は危険

インターネットの歴史を振り返ると、MySpaceは最初期の大型ソーシャルネットワーキングサービス(SNS)だったと言えます。数百万のアクティブユーザーを抱え、大きな文化的影響力を持っていました。Lily AllenやCalvin Harris、Adeleのようにフォロワー獲得とキャリア構築の足がかりとした人もいれば、多くのユーザーは楽しい背景壁紙を選んだり、個性的な自己紹介文を作ったりするだけで満足していました。

その後、MySpaceはFacebookやTwitterに取って代わられ、世間の記憶からほぼ消え去りました。しかし、実は今もサービスは稼働し続けています。

さらに厄介なことに、MySpaceはあなたのことを「忘れていない」のです。しかも、あなたのプライベート情報を漏洩させているかもしれません。

何があなたを悩ませるのか?

現在の主要サイトのセキュリティチェックは概して厳重です。パスワードを安全に保ち、個人データのプライバシーを守るための適切な対策が講じられていると信頼できます。本来そうあるべきです。

ところが、かつての全盛期以降、ハッカーが古いMySpaceアカウントを乗っ取り、制御を奪うのに必要だったのは「名前」「ユーザー名」「生年月日」だけでした。パスワードも、メールアドレスによる確認も一切不要だったのです。

このセキュリティ上の欠陥は「アカウント復旧(Account Recovery)」ページから生まれました。同社は旧ユーザーの呼び戻しを目指してブランド刷新を行ったばかりで、アカウント復旧機能は不可欠なはずです。それだけに、もっと慎重な設計が求められていたと言えます。

リクエストを受け付けたら、少なくともアクセスを許可する前に、登録済みメールアドレスへ何らかの確認を送信するのが普通でしょう。しかし実際には、誰でも入手できる情報だけで済んでしまったのです。

名前は簡単に調べられますし、ユーザー名もプロフィールURLに含まれています(本人が忘れている可能性が高いですが)。生年月日についても、さまざまな情報流出事件(後述します)やFacebook経由で手に入るかもしれません。後者は、SNSにどの程度の情報を提供したか、そしてプライバシー設定次第です。

どんな被害があり得るのか?

さらに悪いことに、MySpaceはこの問題を数か月前から把握していながら、何の対応もしていませんでした。大手メディアに悪評を立てられてようやく、該当URLはログインページへリダイレクトされるようになったのです。決して理想的な対応とは言えません。

そして、それ自体が注目に値する事実です。

この脆弱性を暴露したのは、Positive TechnologiesのLeigh-Anne Galloway氏です。彼女は4月に問題を発見し、速やかにMySpaceへ通報しました。しかし返ってきたのは自動送信メールのみ。3か月が経過しても改善の兆しがないことから、彼女は世界に向けてこの問題を公表することを決意し、MySpaceはようやく行動に移さざるを得なくなったのです。

「大げさでは?」と思うかもしれません。確かに、今さら興味深い情報が大量に残っているとも思えません。

しかし本質的には、サイバー犯罪者はMySpaceに登録されたメールアドレスとパスワードを変更することで、プロフィールを完全に支配できます。これはれっきとした「なりすまし(アイデンティティ窃盗)」です。

残されている情報量は膨大ではないものの、決して侮れません。

見ず知らずの他人が、若い頃の自分の写真――おそらく10代の写真――を見られる状態にあるとしたら、どう感じますか?不気味ですよね。そこに恥ずかしい内容があれば、それを武器に使われたらどうでしょう?現在では、芸能人の過去のSNSアカウントをメディアなど各業界が精査することが珍しくなく、MySpaceを攻撃材料に使う前例もすでに作られています。

実際、木曜日には特にアクセス数が伸びます。「Throwback Thursday(懐かしの木曜日)」として、過去のデジタル写真が掘り起こされ、再拡散されるからです。

さらに言えば、誕生日、メールアドレス、電話番号といった個人識別情報(PII)自体が、詐欺師にとって金銭的価値を持っています。

朗報はあるのか?

はい、朗報はあります。ただし、但し書き付きですが。

まず、あなたのMySpaceプロフィールは、ほぼ見分けがつかないほど変わっているはずです。

これはブランド刷新によるものです。MySpaceは音楽特化型のソーシャルサイトへと生まれ変わり、すべてのプロフィールからカスタマイズ要素が失われました。あの恥ずかしい壁紙を思い出したくても、もう無理です。お気に入りの本、テレビ番組、映画、曲の「Top X」リストなどの詳細情報も消えています。

しかし問題は残ります。プロフィールは真っ白な紙にはなりませんでした。すべての個人情報が消えたわけではないのです。繰り返しますが、個人識別情報の価値を過小評価してはいけません。

さらに、基本的な情報から多くのことが推測可能です。例えばFacebookを挙げると、同サービスはアクティブユーザーであるか否かにかかわらず、あなたについて多くを知っています。ハッカーはそこからあなたの人物像をかなり正確に把握できるでしょう。「Digital Shadow」というツールは、比較的少量のデータからどれほどの詳細を推測できるかを実証しています。

そもそもMySpaceは、思っているほど死んでいません。2015年11月には米国だけで5,060万人のユニークユーザーを記録し、4億6,500万件以上のメールアドレスを扱っていました。狙われる可能性のあるデータは非常に多いのです。

待って、MySpaceは最近トラブルに見舞われていなかった?

これでも十分に悪い状況ですが、2016年にもう一つの衝撃的な事実が明らかになり、MySpaceの評価はさらに悪化しました。正確には、2008年からの話です。

企業がデータ流出を公表しないことが結果的に良い場合もあります。しかしMySpaceの場合、大規模な情報漏洩に遭いながら、ハッキングから少なくとも3年以上経って初めて発覚しました。最初に判明したのは2016年のことで、3億6000万件以上のメールアドレスと4億2700万件以上のパスワードが、このSNS経由で売りに出されていたのです。

元々のハッキングは、2008年から2013年の間のいつかに行われたとみられます。

MySpaceを使っていたことがあるなら、haveibeenpwned.comを訪れてみましょう。自分のデータが流出事故に巻き込まれたかどうかを確認できます。何年も前にMySpace登録に使ったメールアドレスを思い出せたら、入力してみてください。ショックを受けるかもしれませんよ。

Time Inc.の副社長兼最高財務責任者(CFO)であるJeff Bairstow氏は、ユーザーにこう安心感を与えようとしました:

「私たちは顧客データおよび情報のセキュリティとプライバシーを極めて重大に受け止めています。悪意あるハッカーがますます高度化し、あらゆる業界で情報漏洩があまりにも一般的になっている時代だからこそです。当社の情報セキュリティおよびプライバシーチームは、MySpaceチームを全力で支援しています。」

個人情報が真剣に扱われていると告げられてきました。しかし、今回のセキュリティ上の欠陥は、あのハッキング以来ずっと放置されてきたのです。

盗まれたパスワードは、Secure Hashing Algorithm(SHA)-1というハッシュ形式で保存されていました。これはパスワードを別の数字列に変換する仕組みですが、実際にはあまり安全ではありません。「ソルト(salt)」を加えた遅いハッシュの方が優れた保護方法です。絶対に破られないわけではありませんが、現時点ではこれが最善策です。

しかし今となっては、仮にMySpaceがより強固なパスワード保護を実装していたとしても、あまりに単純なアカウント復旧プロセスによって、その意味が無効化されていたでしょう。

あなたはどうすればいい?

この一件は、インターネットセキュリティについて何を物語っているのでしょうか?

MySpaceは、大衆にはほぼ忘れ去られたとはいえ、大手企業がユーザーの情報を適切に管理しなかった最新の例にすぎません。到底許容できるレベルではありません。サイトの全盛期にかかわらず、セキュリティ対策は常に最新の状態に保たれるべきです。

では、私たちに何ができるのでしょうか?まず、MySpaceは関連ページを削除したため、現時点ではログイン情報を覚えていない限りネットワークにアクセスできません。サイト側がセキュリティを強化することを期待しましょう。

しかし、信頼できるとは言い難い状況です。MySpaceに対してアカウント削除を勧めるのは不公平かもしれませんが、実際にLeigh-Anne Galloway氏自身がアカウントを削除しました。理由は想像に難くありません。少なくとも、MySpaceに戻るつもりがないなら、そこから自分の情報をすべて削除しないのは無責任というものでしょう。

あなたはアカウントを削除しましたか?さらなる漏洩が心配ですか?それとも、これだけセキュリティ侵害が起きた後では、すでに外に出ている情報を削除しても無意味だと感じていますか?