アシュレイ・マディソン流出事件：不倫サイト利用者が今すぐ取るべき対策とは

ドイツ語に「シャーデンフロイデ（Schadenfreude）」という興味深い言葉がある。英語や日本語にぴったり対応する訳語がない言葉の一つで、ざっくり言えば「他人の不幸を喜ぶ気持ち」を意味する。不倫専門の出会い系サイト「アシュレイ・マディソン（Ashley Madison）」をめぐる一連の騒動について、筆者はまさにこの感情を抱かずにはいられない。

アシュレイ・マディソンは、既婚者同士の不倫を仲介することに特化した出会い系サイトだ。登録ユーザーは3,700万人以上に上り、いわば「不倫界のFacebook」とも呼べる存在だった。ただ、出会い系サイトにありがちなことだが、登録者の90〜95％は男性だったという。

そして事件が起きた。謎のハッカーグループ「Impact Team」がアシュレイ・マディソンを攻撃し、「不倫サイト（および姉妹サイトのEstablished MenとCougar Life）を閉鎖しなければ、データベース全件を公開する」と脅したのだ。

運営元のAvid Life Media（ALM）は要求を拒否。その結果、翌朝、約9GBものデータがTorダークネット上のサイトへ流出した。内容はユーザー名やメールアドレスにとどまらず、社内メール、企業文書、性的嗜好、プロフィール情報、さらにはGPS位置情報まで含まれていた。痛手である。

もしあなたがこの流出被害に遭った一人なら、心から「ハッハッ」と笑わせてもらおう。正直なところ、同情する気はあまりない。それでもセキュリティ分野の書き手として、今知っておくべきことをいくつかお伝えしたい。

まずはパスワードを変更しよう

アシュレイ・マディソンは徹底的に攻撃され、完全に掌握された。それはもう覆せない事実だ。とはいえ、同社のセキュリティ対策には一定の評価を与えてもいい。

特にパスワードについては、最も安全とされる一方方向ハッシュアルゴリズムの一つ「bcrypt」で難読化されていた。平文で保存していたわけでも、脆弱性だらけのMD5を使っていたわけでもないのは、むしろ好印象だ。

bcryptで保護されたパスワードを解読するには膨大な計算能力が必要になる。つまり、複雑で強固なパスワードを使っていたなら、解読される可能性は比較的低い。しかし、ありきたりなパスワードや弱いパスワードを使っていたなら、いずれ公開されると覚悟しておくべきだ。

いずれの場合でも、アシュレイ・マディソンと同じパスワードを設定しているすべてのサイトでパスワードを変更し、二度と同じものを使わないことを強くおすすめする。

クレジットカードへの影響を考えよう

流出したデータには、2007年まで遡る決済取引の記録も含まれていた。氏名、住所、メールアドレス、支払額などだが、クレジットカード番号の全体は含まれていない。各記録には4桁の数字が含まれており、これは取引コードか、カード番号の下4桁だと見られている。

それ自体はさほど大きな問題ではない。下4桁だけでできることは限られているからだ。しかし一部の企業では、この4桁だけで本人確認ができてしまうことがある。

2012年、Wired誌のコラムニスト、Mat Honan氏がデジタルライフを完全に破壊された事件を覚えているだろうか。AppleメールからGoogleアカウントまで、さらにはMacBookとiPhoneまでもリモートで消去されてしまった。

これが可能になったのは、Appleが「請求先住所＋登録済みクレジットカードの下4桁」だけで本人認証を許していたからだ。

少し神経質すぎると思われるかもしれない。実際、筆者もそう言われることが多い。だが、もし自分がこの流出に巻き込まれたら、即座にカードを停止し、オンラインアカウントとの紐付けを解除するだろう。

報いを受ける覚悟をしよう

ここで強調したいことがある。もし流出被害に遭ったなら、あなたの生活や性的嗜好に関するプライベートで親密な詳細情報が公開されたという現実を受け止めなければならない。かつては私的だった情報が、今や世界中が目にできる状態になっているのだ。

過去にも、出会い系サイトがハッキングされた結果、ユーザーが執拗に晒し上げられ、デジタルライフがめちゃくちゃにされた前例がある。

2009年、4chanの住人があるキリスト教系ソーシャルネットワークをハッキングし、メールアドレスとパスワードを奪取。それを使ってFacebookアカウントに侵入し、所有者を困らせるために下品で差別的なメッセージを投稿したのだ。

当時も賛成しなかったし、今も賛成しない。とはいえ、今回も同じようなことが起こっても、少しも驚かないだろう。

CSO Onlineによると、流出データから約1万4,000件の米国政府・軍関係のメールアドレスが見つかっている。英紙テレグラフも、多数の.gov.ukドメインのメールアドレスが含まれていたと報じた。該当する場合は、勤務先から厳しく追及されることも覚悟しておこう。

すでにタブロイド紙の記者たちが、SQLに詳しい人物の手を借りながら流出データを精査し、有名人や政治家を探している可能性が高い。公的人物でアシュレイ・マディソンを使っていたなら、公衆の面前で恥を晒されることを想定しておいたほうがいい。

ただ、最近のGawkerの一件を見れば分かる通り、集団による公開羞恥は決して健全なことではない。

ジョン・ロンソン著『So You've Been Publicly Shamed』（邦訳『公開処刑』）を読んだ人や、彼のTEDトークを見た人ならご存じの通り、私たち人間には、集団で激昂し他人を断罪する驚くべき能力が備わっているのだ。

償いを始めよう

アシュレイ・マディソンを使っていたなら、家庭内ですでにかなりの修羅場になっているはずだ。あなたにとっては悪いニュースだが、対処法はいくつかある。

まず、誠実に謝罪すべきだ。パートナーが口をきいてくれないなら、メールで謝罪の言葉を届けてみよう。ロビン・シックにならって、アルバム1枚分の謝罪ソングを作るという手もあるかもしれない。

花束も定番の選択肢だ。1-800 Flowersの「Ashley Madisonパッケージ」のような高額な贈り物は無理でも、スマホから心のこもったブーケとカードを送ることはできる。

それでも許してもらえず、数日家を出る必要があるなら、便利なホテル検索エンジンを活用するとよいだろう。

今後さらに混乱は深まる

執筆時点で、アシュレイ・マディソンの流出データが公開されてから約12時間しか経っていない。まだ始まったばかりだ。今後1週間で、さらなる公開の恥、多くの離婚、キャリアの断絶が起こると予想される。状況は間違いなく泥沼化していく。

すでに流出データへのアクセスを簡単にするサイトも登場している。ashmadlookup.comでは、自分のメールアドレスがデータベースに含まれているかどうかを手軽に確認できる。

また、haveibeenpwned.comも同様の確認サービスを提供しているが、こちらはデータの機微性を考慮し、メールアドレスの本人確認を済ませた本人だけが結果を閲覧できる仕組みを採用している。

では、ハッカーグループImpact Teamは被害者にどんなメッセージを残しているのか？

「あなた自身がこの中に見つかった？　裏切ったのはALMだ。あなたを騙し、データを守れなかったのは彼らの方だ。彼らを訴え、損害賠償を請求しろ。そのうえで、人生を前に進めよう。教訓を学び、償いをすること。今は恥ずかしいだろうが、必ず乗り越えられる」

確かに一理ある主張だ。アシュレイ・マディソンは組織として顧客のデータ保護に失敗した。今後数ヶ月のうちに、同社が法廷に立つ場面を目にすることになるだろう。

あなたの声を聞かせてほしい

あなたはアシュレイ・マディソンの流出事件の影響を受けただろうか？　周囲に被害者がいる？　コメント欄でぜひ聞かせてほしい。

写真クレジット：Keys on Keyboard（Intel Free Press）、How Many Credit Cards Should I Have?（Mighty Travels）