2012年 LinkedIn ハッキング

2012年のLinkedInハッキング とは、2012年6月5日にLinkedInがコンピューターハッキングされた事件を指します。約650万のユーザーアカウントのパスワードが盗まれました。エフゲニー・ニクーリンは有罪判決を受け、懲役88ヶ月を宣告されました。

ハッキングされたアカウントの所有者は、自分のアカウントにアクセスできなくなった。LinkedIn は公式声明で、パスワードをリセットする方法を会員にメールで知らせると述べた。2016 年 5 月、LinkedIn は、2012 年の同じ侵入からさらに 1 億件の電子メール アドレスとパスワードが漏洩したことを発見した。

ソーシャルネットワーキングサイトLinkedInは2012年6月5日にハッキングされ、ロシアのサイバー犯罪者により約650万のユーザーアカウントのパスワードが盗まれた。^{[1] [2]}ハッキングされたアカウントの所有者はアカウントにアクセスできなくなり、事件後、サイトはユーザーに繰り返しパスワードの変更を促した。^[3] LinkedInのディレクターであるVicente Silveira氏^[4]は、同社を代表して公式ブログでサイトがハッキングされたことを確認した。また、侵害されたアカウントの所有者は、そのパスワードがサイトで有効でなくなることに気付くだろうと述べた。^[5]

2016年5月、LinkedInは、2012年の同じ侵害からの追加データであると主張する1億件の電子メールアドレスとハッシュ化されたパスワードをさらに発見しました。これを受けて、LinkedInは2012年以降パスワードを変更していないすべてのユーザーのパスワードを無効にしました。^[6]

LinkedInから収集されたとみられる7億人以上のユーザーに関するデータを含むコレクションは、2021年6月初旬にハッカーがそれを販売しようとした後、2021年9月にトレントファイルの形でオンラインで漏洩した。^[7]

インターネットセキュリティの専門家は、LinkedInがハッシュ化の際にソルトを使用しなかったため、パスワードが簡単に解読できたと述べた。ソルトは、既存の標準レインボーテーブル（スクランブルされたパスワードとスクランブルされていないパスワードの一致する事前作成リスト）を使用して、攻撃者がスクランブル処理を迅速に元に戻すことができるため、安全でない方法と見なされている。^[8]論争を巻き起こしたもう1つの問題は、LinkedInが提供したiOSアプリで、ユーザーの承認なしにモバイルカレンダーから個人名、電子メール、メモを取得するものだった。^[9] Skycure Securityのセキュリティ専門家は、このアプリケーションがユーザーの個人データを収集し、LinkedInサーバーに送信すると述べた。LinkedInは、この機能の許可はユーザーが付与し、情報はSecure Sockets Layer（SSL）プロトコルを使用して安全に送信されると主張した。同社は、その情報を第三者に保存または共有したことは一度もないと付け加えた。^{[10] [11]}

米国議会のメアリー・ボノ・マック議員は、この事件について「議会がようやく目を覚まし、行動を起こすまでに、何度このようなことが起こるのだろうか。今回の事件は、データ保護法を可決する必要があることを改めて浮き彫りにした」とコメントした。パトリック・リーヒ上院議員は、「またもや大規模なデータ侵害の報告は、これまで以上にオンライン取引やネットワーキングで機密性の高い個人情報を共有しているアメリカの消費者に、考え直すきっかけを与えるはずだ。議会は、包括的なデータプライバシーとサイバー犯罪に関する法律を最優先課題にすべきだ」と述べた。 ^{[12] [13]}

Rapid7のセキュリティ研究者マーカス・ケアリー氏は、ハッカーらは数日前にLinkedInのデータベースに侵入していたと述べた。^[14]彼は、ハッカーらが攻撃後もウェブサイトにアクセスしていた可能性があると懸念を表明した。

Saveologyの副社長マイケル・アロノウィッツ氏は、「毎日何百ものサイトがハッキングされ、個人情報が盗まれています。1つのアカウントからログイン情報を盗むと、個人情報や金融情報が保存されている他のアカウントに簡単にアクセスできます」と語った。セキュリティ専門家は、盗まれたパスワードは解読がかなり簡単な方法で暗号化されており、これがデータ漏洩の原因の1つであると指摘した。^[15]

米国イリノイ州のLinkedInの長年のユーザーであるケイティ・シュピルカは、同社が接続とデータベースのセキュリティを確保するという約束を守らなかったとして、LinkedInに対して500万ドルの訴訟を起こした。LinkedInの広報担当者エリン・オハラは、訴訟について尋ねられたとき、弁護士らはこの状況を利用して、米国議会に再びSOPAとPIPAの法案を提案しようとしていると述べた。^[16]

2012年11月26日、Szpyrka氏と米国バージニア州の別のプレミアムLinkedInユーザーであるKhalilah Gilmore–Wright氏を代表して、侵害の影響を受けたすべてのLinkedInユーザーの集団代表として修正された訴状が提出されました。^[17] この訴訟では、原告と集団のメンバーに対する差止命令およびその他の衡平法上の救済、および賠償と損害賠償を求めました。^[17]

LinkedInはデータ漏洩後すぐに謝罪し、ユーザーにパスワードを直ちに変更するよう求めた。^[1]連邦捜査局はLinkedIn Corporationの盗難事件の捜査に協力した。2012年6月8日時点で捜査はまだ初期段階にあり、同社はハッカーが侵害されたユーザーアカウントに関連付けられたメールアドレスも盗むことができたかどうかは判断できないと述べた。^[18] LinkedInは、パスワードが侵害されたユーザーは古いパスワードを使用してLinkedInアカウントにアクセスできないと述べた。^[19]

2016年10月5日、ロシアのハッカー、エフゲニー・ニクーリンがプラハでチェコ警察に拘束された。米国は彼に対するインターポールの逮捕状を請求していた。 ^[20]

米国の大陪審は、ニクーリンと名前を明かしていない共謀者3人を、悪質な個人情報窃盗とコンピュータ侵入の罪で起訴した。検察は、ニクーリンがLinkedInの従業員のユーザー名とパスワードを盗み、それを使って同社のネットワークにアクセスしたと主張した。ニクーリンはまた、DropboxとFormspringをハッキングし、ユーザー名、メールアドレス、パスワードを含むFormspringの顧客データを盗んで販売しようと共謀したとして告発された。^[21]

ニクーリンは有罪判決を受け、懲役88ヶ月を宣告された。^[22]