セキュリティ
ハッカー / ハッキング(用語)
マッチングアプリ / デートアプリ(用語)
ジェンダー(用語)

ゲイ向けデートアプリManhuntがハックされ数千件のアカウント情報が盗まれていた

次の記事

ソフトバンクがインドのフードデリバリーSwiggyに最大543億円投資か

600万人の男性会員を誇ると主張するゲイ向けのデートアプリManhunt(マンハント)は、2021年2月にアカウント用データベースがハッカーに侵入され、データが漏洩していたことを認めた。

ワシントン州検事当局に報告された内容によると、ハッカーは「Manhuntユーザーのアカウント証明書を保管していたデータベースに侵入した」とManhuntは語っている。さらに「2021年2月初旬に、1つのユーザーサブセットのユーザー名、メールアドレス、パスワードが盗まれた」という。

報告では、人が見たとしてもわからないようにするパスワードのスクランブル方法について、またスクランブルをかけていたかについては触れられていない。弱いアルゴリズムでスクランブルされたパスワードはプレーンテキストに解読される恐れがあり、悪意あるハッカーにそのアカウントへのアクセスを許してしまう。

データ漏洩の後、Manhuntは2021年3月中旬にアカウントのパスワードを強制リセットし、ユーザーに注意を呼びかけた。Manhuntは、データが盗まれたユーザーが全体の何割程度だったか、どのように漏洩したかについては明かしていないが、ワシントン州の住民7700人以上が関連していると話している。

Manhuntを代表する法律事務所ZwillGen(ズウィルジェン)の弁護士Stacey Brandenburg(ステイシー・ブランデンバーグ)氏は、Manhuntのユーザーの11パーセントが影響を受けたとメールで話してくれた。

しかしManhuntの対処には、まだ疑問が残る。同社は2021年3月「現時点では、すべてのManhuntユーザーは新しいパスワード要件に合致するパスワードに更新することが必要です」とツイートしている。ここでは、ユーザーアカウントが盗まれたことは知らせていない。

Manhuntは2001年、Jack’d(ジャックト)というゲイ向けデートアプリを提供していたOnline-Buddies Inc.(オンラインバディーズ)によってローンチされた。Jack’dは2019年にPerry Street(ペリー・ストリート)に、非公開の価格で買収された。この買収のわずか数カ月前、Jack’dはセキュリティ上の欠陥からユーザーのプライベートな写真や位置情報を公開してしまっている。

デートサイトには、極めて個人的なユーザー情報が保管されているため、悪意あるハッカーの標的にされることが多い。2015年、ユーザーの浮気を煽るデートサイトAshley Madison(アシュレイ・マディソン)がハッキングされ、ユーザーの名前、住所、メールアドレスが晒されてしまった。盗まれたデータがオンライン上で公開され、自殺に追い込まれたユーザーが数人いる。1年後、AdultFriendFinder(アダルトフレンドファインダー)がハッキングされ、4億件を超えるユーザーアカウトが晒された。

2018年には、同性デートアプリGrindr(グラインダー)がデータ分析業者2社にユーザーのHIV感染情報を渡して問題になった

この他、セキュリティの甘さから(セキュリティがまったく存在しないこともあるが)、非常に個人的なデータが流出してしまった事件もある。2019年、中国の同姓愛の男女向け人気デートアプリRela(レラ)は、パスワードも設置しない危険な状態でサーバーを放置していたため、性的指向や住所など500万人以上のユーザーの個人情報に、誰もが自由にアクセスできるようになっていた。数カ月後、ユダヤ人向けのデートアプリJCrush(ジェイクラッシュ)は、およそ20万件のユーザー情報を公開してしまっている

関連記事:インターネット界で最も頼りになる流出データの管理人「Have I Been Pwned」が生まれたわけ

カテゴリー:セキュリティ
タグ:Manhuntデータ漏洩ハッキングデートアプリジェンダー

画像クレジット:TechCrunch

原文へ

(文:Zack Whittaker、翻訳:金井哲夫)