GmailやInstagram、Netflixなど、世界的に利用者の多いオンラインサービスに関連する大量のログイン情報が流出していたことが明らかになりました。流出件数はおよそ1億4900万件にのぼり、メール、SNS、動画配信、金融関連アカウントまで幅広く含まれているとされています。
未保護のデータベースから大量情報が露出
この問題は、セキュリティ研究者のJeremiah Fowler氏によって発見され、ExpressVPNと共有されました。流出元となったデータベースは、パスワード保護や暗号化が一切施されていない状態で公開されており、約96GBもの生データが保存されていたとされています。
データベースには、世界中のユーザーのユーザー名とパスワードが含まれており、Facebook、Instagram、TikTok、Xといった主要SNSに加え、複数のオンラインサービスの認証情報が確認されたとのことです。
動画配信や金融サービスの情報も含まれる
流出データには、OnlyFansのアカウント情報のほか、Netflix、HBO Max、Disney+、Robloxなどのエンタメ系サービスも含まれていたと報告されています。さらに、金融関連サービスのアカウント情報や、一部のGoogle関連アカウントも確認されており、影響範囲は非常に広いものとなっています。
ExpressVPNは、複数の国にまたがる.govドメインの認証情報が含まれていた点を特に深刻だと指摘しており、なりすましや標的型フィッシングに悪用されるリスクが高いと警告しています。
Gmailは約4800万件、Facebookは1700万件が流出
判明している内訳を見ると、メールサービスではGmailが約4800万件、Yahooが約400万件、Outlookが約150万件、iCloudが約90万件流出したとされています。また、教育機関関連の.eduドメインも約140万件含まれていました。
SNSやその他のサービスでは、Facebookが約1700万件、Instagramが約650万件、TikTokが約78万件、Netflixが約340万件、OnlyFansが約10万件、暗号資産取引所Binanceが約42万件とされています。
今回の流出は、単発の被害というよりも、多数のサービスにまたがる認証情報が一括で露出した点が大きな問題です。ユーザー側としては、同一パスワードの使い回しを避けることに加え、パスワード変更や二段階認証の有効化など、改めて基本的な対策を見直す必要がありそうです。
