Last Updated on 2025-05-30 09:11 by admin

サイバーセキュリティ研究者ジェレマイア・ファウラー（Jeremiah Fowler）が2025年5月22日に公開したレポートで、1億8416万2718件のログイン認証情報が流出したデータベースを発見したと報告した。

流出データは47.42GBに及び、Google、Microsoft、Apple、Facebook、Instagram、Snapchat、Discord、Roblox、Amazon、Nintendo、Spotify、Twitter、Yahoo等の主要プラットフォームのユーザー名とパスワードが平文で保存されていた。

データベースは暗号化されておらず、パスワード保護もされていない状態で一般公開されていた。

ファウラーの分析では、データはインフォスティーラーマルウェアによって収集されたと推定される。

流出情報には銀行・金融機関、医療プラットフォーム、政府ポータルのアカウント情報も含まれ、複数国の政府機関アカウントも確認された。ファウラーがホスティングプロバイダーに連絡した後、データベースは一般アクセスから削除された。

From: 184 Million Passwords Leaked for Google, Facebook, Instagram and More. How to Protect Your Accounts

【編集部解説】

今回の大規模データ流出事件は、従来のサイバー攻撃とは根本的に異なる手法で発生しました。企業への直接的なハッキングではなく、インフォスティーラーマルウェアによる個人デバイスからの情報収集が原因とされています。

この手法の特徴は、ユーザーが気づかないうちにブラウザやメールクライアントに保存された認証情報を抜き取る点にあります。フィッシングメールや偽装ソフトウェアを通じて感染し、パスワード管理機能やオートフィル機能に依存する現代のデジタル生活の脆弱性を突いた攻撃手法です。

特に注目すべきは、流出データの規模と多様性でしょう。単一企業のデータベースではなく、Amazon、Nintendo、Spotify、Twitter、Yahoo等を含む多数のプラットフォームから収集された情報が一箇所に集約されていた点は前例がありません。これにより、サイバー犯罪者は一人のユーザーに対して複数のアカウントを同時に狙える「クロスプラットフォーム攻撃」が可能になります。

研究者ファウラー氏が実際に流出データに含まれる人物にメールで確認を取ったところ、複数の人が記録に含まれるパスワードが現在も有効であることを確認しています。これは単なる古いデータの集積ではなく、現在進行形で悪用可能な情報が含まれていることを意味します。

今回の事件が示すのは、個人のセキュリティ意識の重要性です。企業側のセキュリティ対策だけでは防げない攻撃手法であり、ユーザー自身の行動変容が求められています。パスワードの使い回しや、怪しいリンクのクリック、非公式ソフトウェアのダウンロードといった行為が、結果的に大規模な情報流出につながる可能性があることを物語っています。

長期的な視点では、この事件は認証技術の進化を加速させる可能性があります。従来のパスワード認証から、生体認証やパスキーといった次世代認証技術への移行が急務となるでしょう。また、ゼロトラスト・セキュリティモデルの普及や、AIを活用した異常検知システムの導入も進むと予想されます。

【用語解説】

インフォスティーラーマルウェア
感染したデバイスから情報を窃取するタイプのマルウェア。ログイン情報、メールアドレス、クレジットカード情報、ブラウザ情報等を収集し、サイバー犯罪者に送信する。RedLine、Raccoon Stealer、Vidarなどが代表例である。

認証情報入力スクリプト
ハッカーが自動化ツールを使用して、何千もの異なるサイトでメールとパスワードの組み合わせを試行する攻撃手法。クレデンシャルスタッフィング攻撃とも呼ばれ、パスワードの使い回しを狙った効率的な攻撃方法である。

二要素認証（2FA）
「知識」「所有」「生体」の3要素のうち2つを組み合わせてユーザー認証を行うセキュリティ手法。パスワードに加えてSMSコードや認証アプリを使用することで、アカウント乗っ取りのリスクを大幅に軽減できる。

パスキー
パスワードに代わる新しい認証方式で、指紋や顔認証などの生体情報を利用する。FIDOアライアンスとW3Cが共同で規格化しており、フィッシング攻撃やパスワード漏洩のリスクを根本的に解決する次世代認証技術である。

ゼロトラスト・セキュリティモデル
「いかなるデバイスに対しても、認証されるまでアクセス権を与えない」という考え方に基づくセキュリティアーキテクチャ。ネットワーク境界の内外を問わず、すべてのアクセスに対して継続的な認証と認可を要求する。

【参考リンク】

Website Planet（外部）
オンラインプレゼンス構築支援プラットフォーム。サイバーセキュリティ分野で積極的な調査活動を展開

Bitwarden（外部）
オープンソースのパスワード管理ソリューション。強力な暗号化技術でクロスプラットフォーム対応

Google アカウント（外部）
Googleの統合アカウントサービス。業界最先端のセキュリティ機能でユーザーデータを保護

Malwarebytes（外部）
マルウェア対策ソフトウェア開発企業。今回のデータ流出について詳細な分析レポートを公開

【編集部後記】

今回の大規模データ流出を受けて、皆さんはどのようなセキュリティ対策を実践されていますか？複数のサイトで同じパスワードを使い回していませんか？パスワード管理アプリの導入や二要素認証の設定など、一歩踏み出すきっかけになれば幸いです。また、普段お使いのデバイスで怪しいメールやリンクに遭遇した経験があれば、SNSで皆さんの体験をお聞かせください。読者同士の情報共有が、より安全なデジタル環境づくりにつながると考えています。

【参考記事】

マイナビニュース: 1億8400万件超える認証情報が漏洩（外部）
Malwarebytesの報告を基に、184,162,718件のデータベースレコードについて技術的分析を提供

Yahoo!ニュース: 1.84億件のパスワード流出（外部）
ジェレマイア・ファウラー氏の発見について詳細報道。企業スパイ・ランサムウェア攻撃への悪用可能性を解説

ZDNet: Massive data breach exposes 184 million passwords（外部）
国際的視点から分析。暗号化されていない平文ファイルの危険性とインフォスティーラーマルウェアを詳解

【関連記事】

サイバーセキュリティニュースをinnovaTopiaでもっと読む