サイバーセキュリティ企業サイバーニュース（Cybernews）の研究チームは、2025年に入ってから160億件以上のログイン認証情報が流出したと6月19日に発表しました。これは過去最大規模のデータ漏洩の一つと見られています。
流出した情報の内容
流出した情報には、URL、ログインID、パスワード、セッショントークン、クッキー、メタデータなどが含まれています。情報源には、マルウェアによる情報窃取ツールの詳細、クレデンシャルスタッフィング（漏洩パスワードの大量突き合わせ）のセット、再パッケージ化された漏洩データが混在しているとのことです。
インフォスティーラーマルウェアの急速な蔓延
研究者によれば、このような大規模データセットは数週間おきに新たに発見されており、インフォスティーラーマルウェア（ログイン情報や機密データを盗むことに特化したマルウェア）の急速な蔓延に強い懸念を示しています。
主要オンラインサービスへの影響
流出が確認されたデータには、アップル（Apple）、フェイスブック（Facebook）、グーグル（Google）、ギットハブ（GitHub）、テレグラム（Telegram）、各国の政府サービスに関する認証情報も含まれており、「ほぼすべての主要オンラインサービスへのアクセスが可能になる危険性がある」と指摘されています。
サイバー攻撃のリスク
研究者は、これらの流出情報がフィッシングキャンペーン、アカウント乗っ取り、ランサムウェア侵入、ビジネスメール詐欺（BEC）などのサイバー攻撃の燃料になると警告しています。特に、漏洩したデータには古いログと最新のログが混在しており、多要素認証（MFA）やセッション管理が甘い組織やユーザーにとって深刻なリスクとなります。
データの流出元は依然不明
一部のデータセットは短時間のみオンラインで公開されていましたが、未保護のElasticsearchインスタンスやオブジェクトストレージを通じて一時的にアクセス可能な状態だったとされています。研究者が発見に成功したものの、データを制御していた人物は特定されておらず、流出元は依然不明のままです。
大規模データセットの危険性
最大規模のデータセットはポルトガル語圏のユーザー関連のもので、35億件超の記録を含んでいました。全体的に見ると、1つのデータセットあたり平均5億5,000万件の資格情報が含まれていたとのことです。漏洩データのすべてがサイバー犯罪者によるものとは断定されていませんが、一部は確実に犯罪者の手にあったと見られています。
サイバー衛生の重要性
研究者は、サイバー衛生（cyber hygiene）の徹底を改めて呼びかけています。具体的には、強力かつ定期的に変更されるパスワードを使用し、PCや端末内にインフォスティーラーが潜んでいないか確認することが重要だと述べています。サイバーセキュリティの意識を高め、個人情報を守るための対策を講じることが求められています。
 |  |