たった16ドルでテキストメッセージが盗める
2021年11月24日第三者決済のマネーロンダリングリスク
2021年12月22日
執筆者：Ron Cresswell, J.D., CFE, Research Specialist
2021年2月、膨大な量の顧客データが有名なハッキングフォーラム上で公開された。
Compilation of Many Breaches（COMB）と呼ばれているこのデータ流出は、おそらく最大規模のものだ。COMBデータの流出は極めて甚大で、世界全体のネットユーザーの70%の情報が含まれているとみられている。
COMBデータ流出とは何か
2月2日、Singularity0x01というユーザーが、ハッカーやサイバー犯罪者がリークしたデータを共有するRaidForumsというオンラインフォーラムに、あるZIPファイルを投稿した。ファイルは「CompilationofMany Breaches（COMB）38Billion（Public）」という名称で、何十億ものユーザー名やパスワードが含まれていた。RaidForumsユーザーはこのファイルを閲覧するために少額の支払いを求められた。
ネットメディアのCybernews.comはCOMBデータ流出を初めて報じた組織だ。データを分析したCybernewsによると、流出したCOMBデータには32億件ものメールアドレスとパスワードの組み合わせが含まれており、その中に約2億件のGメールアドレスと4億5千万件のYahooメールアドレスが含まれているという。しかし重要なのは、COMBデータ流出は新しく侵害されたデータではないという点だ。COMBデータ流出は、Netflix、LinkedIn、Hotmail、Yahoo、Bitcoinなどの企業から過去に流出したデータから収集された資格情報を集めたものだった。
COMBデータには新しい情報が含まれていたわけではないが、流出した情報量は甚大である。流出したCOMBデータは、2017年に投稿された資格情報が14億件含まれていた同様のデータの約2倍だ。Cybernewsは、「47億人がネットに接続できると考えた場合、COMBデータは世界中のネットユーザーの70%近くのデータが含まれている（ユーザーの重複がないと仮定した場合）」としている。
別の言い方をすれば、COMBデータにはあなたが現在使っている、または過去に使っていたユーザーネームとパスワードの組み合わせが含まれている可能性が高いということだ。
潜在的な脅威は何か
COMBデータ流出により潜在的な脅威がいくつも生じている。複数のサイトで同じ資格情報を使う人が増えているため、流出したCOMBデータが他のアカウントへのアクセスに使われてしまう。例えば、サイバー犯罪者は流出したNetflixの資格情報を使ってGメールや主要銀行のサイトへのアクセスを試みる。大半のハッカーは流出した資格情報を利用し、選んだサイトに対して何千ものログインリクエストを自動で送り付けるソフトウエアを使ってクレデンシャルスタッフィング攻撃（訳注：パスワードリスト型攻撃）を行う。また流出したCOMBデータはスピアフィッシング攻撃（訳注：標的型フィッシング攻撃）にも使われる。
自分を守るために何ができるか
流出したCOMBデータから自分を守るために、次の行動をとるべきである。
- Cybernews personal data leak checker や Have I Been Pwnedといった無料の流出データベースなどを検索してCOMBデータに自分のデータが含まれていないか確認する
- 流出データベースでヒットしたパスワードを変更する。もしパスワードが流出していなくても定期的に変更するべきだ
- 複数のアカウントで同じユーザーネームとパスワードの組み合わせを使用しない。各アカウントだけで使うパスワードを作る。多くのサイバーセキュリティの専門家は強力なパスワードを作り記憶しておくためにパスワードマネージャーの利用を推奨している。
- 多要素認証を提供している全アカウントで有効にしておく
英文タイトル ：What You Should Know About the COMB Data Leak
英文記事リンク：https://www.acfeinsights.com/acfe-insights/what-you-should-know-about-comb-data-leak
原文掲載日：2021年3月29日
翻訳：ACFE JAPAN事務局
※わかりやすさを優先させるため、意訳を行っています。ACFE JAPAN (一般社団法人 日本公認不正検査士協会) 公式の邦訳とは異なる表現を使用している場合があります。