ハッキンググループがPornhubを恐喝、大規模なデータ侵害発覚
ハッキンググループ「Scattered Lapsus$ Hunters」が、ポルノサイトPornhubに対し、ユーザーの閲覧データを盗んだとして恐喝を試みていることが明らかになりました。同グループには、悪名高い「ShinyHunters」のメンバーも含まれるとされています。
このデータ窃盗は、広く利用されているWebおよびモバイル分析プロバイダーであるMixpanel社のシステムへの侵害が原因であることが確認されています。Pornhubは、Mixpanel社が以前に発表したデータ侵害の影響を受けた企業の一つであると認めています。
Mixpanel社へのデータ侵害の詳細
Mixpanel社は11月8日に自社システムの侵害を発見し、企業顧客に影響が出たと報告していました。今回の侵害により、Pornhub Premiumユーザーの「アナリティクスイベント」が露呈しました。
「Bleeping Computer」の報道によると、盗まれたPornhub関連のデータサンプルには、Pornhub Premiumメンバーの登録メールアドレス、位置情報、視聴した動画やチャンネル（動画名、Webアドレス、関連キーワードを含む）、イベントの記録日時といった個人情報が含まれているとのことです。
Mixpanel社は8,000社以上の顧客を抱えており、各顧客のMixpanelアカウント設定によって盗まれたデータの種類は異なりますが、一般的にMixpanelはユーザーのサイトやアプリ上での行動（クリック、閲覧、スワイプなど）やデバイス情報（画面サイズ、Wi-Fi接続状況、通信事業者名など）を追跡するために利用されています。
Pornhub以外の被害企業と影響
今回のMixpanelの侵害では、Pornhub以外にも複数の有名企業が影響を受けています。すでにOpenAI、CoinTracker、SwissBorgが被害を認めています。
また、同日にオーディオストリーミング大手であるSoundCloudも、ユーザーの約20%が「補助サービスダッシュボードでの不正アクセス」の影響を受けたことを確認しました。SoundCloudによると、盗まれたデータにはユーザーのメールアドレスおよび公開プロフィール情報が含まれるとのことです。
加害グループ「Scattered Lapsus$ Hunters」の素顔
今回の侵害に関与した「Scattered Lapsus$ Hunters」は、主に英語圏のハッカーで構成される集団であり、そのメンバーには「ShinyHunters」の面々も含まれていると見られています。彼らは今年、SalesforceやGainsightの顧客を標的としたデータ窃盗など、多数の大規模ハッキング事件に関与してきた実績があります。
第三者ベンダーリスクの再認識
今回の事件は、第三者サービスプロバイダーのセキュリティが、いかに広範囲にわたる顧客データ漏洩のリスクを抱えているかを改めて浮き彫りにしました。企業は、自社のシステムだけでなく、連携する外部ベンダーのセキュリティ対策にも細心の注意を払う必要性が強調されています。