マーケティング企業のデータベースサーバから1100万件の個人情報が流出

　米国時間9月17日、流出したデータベースの発見を専門とするセキュリティ研究者が、1100万件近くのユーザーの個人情報がオンラインでアクセス可能な状態になっているMongoDBサーバを発見した。同サーバは、米カリフォルニア州に本社を置く電子メールマーケティング企業のものと見られる。

　この43.5Gバイトのデータには、1099万9535人のユーザーの氏名、電子メールアドレス、性別、住所（州、都市、郵便番号など）の情報が含まれていた。

　このデータベースに含まれていた電子メールアドレスは、すべて米Yahooのもの（@yahoo.comで終わるアドレス）であり、おそらく本来は、複数のサーバ上に保存されている大規模なデータセットの一部であると見られる。

　この情報漏えいを発見したセキュリティ研究者Bob Diachenko氏（同氏はZDNetにも詳細情報を提供してくれた）によれば、このデータベースは少なくとも9月13日からオンラインでアクセス可能な状態になっていたという。同データベースはこの日に、検索エンジン「Shodan」によってインデックス化され、「セキュリティ侵害を受けている」とタグ付けされている。

　このようなタグ付けを受けたのは、通常の内容の他に、次のテキストを含むデータが収められた、「Warning」（警告）と名付けられたテーブルが含まれていたためだ。

　「貴社のデータベースはダウンロードされ、安全が確保されたわれわれのサーバにバックアップされている。失われたデータを復旧したければ、われわれのビットコインアドレスに0.4BTCを送金し、サーバのIPアドレスと支払いの証明を記載して電子メールで連絡を取ること。サーバのIPアドレスと支払いの証明が記載されていない電子メールは無視される。12時間はバックアップのサマリの要求に応じる。その後、バックアップは削除される。連絡を歓迎する」

　これは、2016年の後半に登場した、侵害を受けたMondoDBに残される典型的な身代金要求メッセージだ。

　詳細な情報から、この電子メールマーケティングデータベースは6月にも一度消去され、復旧されており、そのような重大なセキュリティインシデントが発生した後も、適切なセキュリティ措置が施されないまま運用され続けていたことが伺われる。

　当初は、データベースの所有者は不明だったが、複数のレコードの末尾に付加されていた文字列から、このデータは「SaverSpy」と呼ばれる企業のものであると見られる。

　筆者とDiachenko氏は、Google検索で得られた情報と、漏えいしたデータベースに収録されていたユーザー情報の種類から、このデータは割引情報を提供するサイトである「SaverSpy.com」が所有するものだと考えている。SaverSpy.comのウェブサイトには、このサイトはQuotient Technologyが運営する「Coupons.com」ブランド傘下のサービスであると説明されていたが、Quotientの広報担当者はZDNetの取材に対して、SaverSpyはアフィリエイトプログラムの参加サイトに過ぎないと回答している。

　ZDNetとDiachenko氏は、SaverSpyの運用会社にサーバの状態を通知した。同社からの回答はなかったが、同サーバの安全は9月18日に確保された。