2014年にヤフーのデータ侵害で5億アカウントが流出

ヤフーは、2014年のデータ侵害により5億アカウント分のユーザー情報が盗まれたことを確認しました。同社は現在、2014年以降にヤフーアカウントのパスワードを変更していないユーザーに対し、パスワードの変更を推奨しています。

ヤフーのセキュリティ問題の過去

2013年にヤフーはグーグルと共に、エドワード・スノーデンの文書からNSAが自社のネットワークに侵入し、毎日何百万もの記録を自社の本部に送信していることを知った。

1年後、スノーデン氏の文書は、英国の諜報機関GCHQがYahoo!メッセンジャーのユーザー数百万人のウェブカメラを盗聴していたことも明らかにした。文書によると、データ漏洩は2008年から2010年の間に発生したとされているが、その後も盗聴は継続していた可能性がある。

他の多くの大手ウェブサービス企業と同様に、ヤフーもスノーデン氏の暴露を受けてセキュリティ対策をより真剣に考えるようになりました。そして、ウェブサイトのトラフィックとサーバー間のメールデータの暗号化を開始しました。

2014年のデータ侵害

2014年のデータ侵害は、すべてのセキュリティ対策が講じられる直前に発生した可能性があります。あるいは、攻撃者がYahoo!が気付かないうちにネットワーク内に留まっていた可能性もあります。また、Yahoo!がセキュリティ対策を強化した後でも、攻撃者が侵入した可能性もあります。

「アカウント情報には、氏名、メールアドレス、電話番号、生年月日、ハッシュ化されたパスワード（大部分はbcryptを使用）、そして場合によっては暗号化または非暗号化されたセキュリティの質問と回答が含まれていた可能性があります」と、ヤフーの最高情報セキュリティ責任者（CISO）であるボブ・ロード氏は述べています。「現在進行中の調査では、盗まれた情報には保護されていないパスワード、クレジットカード情報、銀行口座情報は含まれていなかったことが示唆されています。クレジットカード情報と銀行口座情報は、調査で影響を受けたことが判明したシステムには保存されていません」とロード氏は付け加えました。

同社は、今回の攻撃は「国家の支援によるもの」だと考えていると述べているが、その根拠となる情報は明らかにしていない。また、過去にハッキングを行ったことが知られている諜報機関（NSAとGCHQ）を指しているのかどうかも不明だ。ヤフーは、攻撃者はもはや同社のネットワーク内にいないため、ユーザーは今すぐパスワードを変更すれば安全だと付け加えた。

影響を受けるユーザーへのYahooの推奨事項

ヤフーのCISO（最高情報セキュリティ責任者）は、影響を受ける可能性のあるすべてのユーザーに既に通知し、パスワードの変更を要請したと述べた。暗号化されていないセキュリティの質問と回答も無効化されており、ヤフーはこの件に関して法執行機関と連携している。同社はユーザーに対し、アカウント内での不審なアクティビティに注意し、迷惑メールの添付ファイルをクリックしないよう呼びかけた。

Yahooは、パスワードの代替として「Yahooアカウントキー」を試すことをユーザーに推奨しました。この機能は、Googleが最近発表した「Googleプロンプト」と同じように機能します。違いは、パスワードが第一要素である認証の第二要素として機能するのではなく、第一要素として機能する点です。この機能を使用するには、AndroidまたはiOSでYahooメールアプリをダウンロードし、この機能を有効にする必要があります。

ヤフーは、調査が終了するまでにデータ漏洩に関するさらなる情報が明らかになる可能性があると述べた。