アシュリー・マディソンのデータ侵害

2015年7月、 「The Impact Team」と名乗る正体不明の人物またはグループが、不倫を可能にすると謳う商業ウェブサイト、アシュレイ・マディソンのユーザーデータを盗んだと発表した。ハッカーはサイトのユーザーベースの個人情報をコピーし、アシュレイ・マディソンを直ちに閉鎖しなければユーザーの名前と個人識別情報を公開すると脅迫した。脅威の深刻さの証拠として、当初2,500人以上のユーザーの個人情報が公開された。同社は当初、記録が安全でないことを否定したが、運営を続けた。

このサイトには適切なセキュリティが欠如しており、実名、自宅住所、検索履歴、クレジットカード取引記録など、ユーザーの個人情報をデータベースから削除しない慣行があったため、多くのユーザーは公に恥をかくことを恐れていた。^[1]

8月18日と20日には、ユーザーの詳細を含む60ギガバイト以上の企業データが公開された。公開されたデータには、同社が削除したと主張したデータを削除しなかったため、個人情報を削除するためにサイトに料金を支払ったユーザーの個人情報も含まれていた。

インパクト・チームは2015年7月19日に攻撃を発表し、親会社であるアビッド・ライフ・メディアがアシュリー・マディソンとその姉妹サイト「エスタブリッシュド・メン」を閉鎖しなければ、アシュリー・マディソンのユーザーの身元を暴露すると脅した。^[2]

2015年7月20日、アシュリー・マディソンのウェブサイトは、その「メディア」セクションに、この侵害に関する3つの声明を掲載した。同ウェブサイトの普段は活発なTwitterアカウントは、プレス声明の投稿以外は沈黙していた。^[3]声明の1つには次のように書かれていた。

現時点では、サイトを安全にし、不正アクセスポイントを閉鎖することができました。私たちは、この犯罪行為を捜査している法執行機関と協力しています。このサイバーテロ行為に関与したすべての当事者は、責任を問われます。デジタルミレニアム著作権法（DMCA）を利用して、私たちのチームは、この事件に関連する投稿と、オンラインで公開されたユーザーに関するすべての個人識別情報（PII）を削除することに成功しました。^[4]

同サイトはアカウント削除料金の免除も提案した。

7月21日、「The Impact Team」は2,500件以上の顧客記録を公開したが、同社は当初、メインデータベースが安全ではなくハッキングされたという主張を否定した。^[5]しかし、8月18日には60ギガバイト以上の追加データが公開され、有効であることが確認された。^[6]この情報は、10ギガバイトの圧縮アーカイブの形でBitTorrentで公開され、そのリンクは匿名ネットワークTor経由でのみアクセスできるダークウェブサイトに投稿された。^{[7]データは}PGPキーで暗号化署名された^[8]。このグループはメッセージの中で、Avid Life Mediaを非難し、同社の欺瞞行為を非難した。「ALMとそのメンバーの詐欺、欺瞞、愚かさについて説明しました。今や誰もが自分のデータを見ることができます... ALMにとっては残念です。秘密を守ると約束しましたが、果たしませんでした。」^[9]

これに対して、アビッド・ライフ・メディアは、同社が捜査当局と協力しているとの声明を発表し、ハッカーは「ハクティビスト」ではなく犯罪者であると述べた。^[10] 2回目の、より大規模なデータダンプは2015年8月20日に発生し、最大のファイルはアビッド・ライフ・メディアのCEOであるノエル・ビダーマンのものを含む12.7ギガバイトの企業メールで構成されていた。 ^[11]

2017年7月、Avid Life Media（Ruby Corporationに改名）は、侵害に起因する24件の訴訟を1120万ドルで和解することに合意した。^{[12] [13]}

ウェブサイト上のアカウントはいずれも、プロフィールを作成するためにメール認証を必要としないため、偽のメールアドレスでプロフィールを作成する人が多い。アシュレイ・マディソンの会社は、メールアカウントの所有者にプロフィールを削除するために金銭の支払いを要求し、（いたずらやメールの誤入力で）同意なくアカウントを開設した人が金銭を支払わずにアカウントを削除できないようにした。^[14]ハッカーらは、アビッド・ライフ・メディアが、サイトで作成されたユーザープロフィールを閉鎖するために金を払う人々から年間170万ドルを受け取っていたと主張している。同社は、金銭を支払えばプロフィールが「完全に削除される」と虚偽の主張をしていたが、ハッキングによってそれが真実ではないことが証明された。^[14]

ジョシュ・ダガーは、リアリティ番組『 19 Kids and Counting』に出演した保守的なキリスト教徒の家庭の10代として有名になった27歳の男性で、データが漏洩したアシュレイ・マディソンの著名なユーザーの1人だった。漏洩したデータには、彼名義のクレジットカード口座の約1,000ドルの取引記録が含まれていた。データ漏洩のニュースは、その年の初めに警察が彼の性的不品行を報告したという暴露とともに彼の問題をさらに悪化させた。8月20日、彼は妻に不貞を働いていたことを認めた。^{[15] [16]}データ漏洩は、彼が数人の妹を含む未成年の少女5人を愛撫したとされる過去の警察報告書が公開された直後に起こった。8月25日、彼はリハビリセンターに入所した。^{[17] [18] [19]}

ハッキングの後、インターネット自警団のコミュニティは、公に辱めようと計画している有名人を見つけるために徹底的に調べ始めた。^[20] France24は、漏洩したデータベースには1,200件のサウジアラビアの「.sa」メールアドレスが含まれていたと報告した。サウジアラビアでは姦通は死刑に処せられるため、これらのメールアドレスはさらなる恐喝の対象となった。 ^[21]数千件の米国の.milおよび.govメールアドレスがこのサイトに登録されていた。^{[22] [ 23 ] [ 24]}侵入から数日後、恐喝犯は漏洩に詳細が含まれていた人々を狙い始め、200ドル相当のビットコインをだまし取ろうとした。^{[25] [26] [27]}ある会社は、人々が同僚や配偶者のメールアドレスをウェブサイトに入力できる「検索エンジン」の提供を開始し、そのメールアドレスが漏洩したデータベースにあれば、会社に金を払わなければ詳細を暴露すると脅す手紙を送ってくるという。^{[28] [29]}

さまざまなセキュリティ研究者やインターネットプライバシー活動家が、メンバーであると明らかにされたユーザーの名前など、データの詳細を報道するジャーナリストのメディア倫理について議論した。 ^{[20] [30] [31] [32]多くの評論家は、このハッキングを}2014年の有名人の写真ハッキングによるプライバシーの喪失と比較した。^{[33] [34]}

臨床心理学者は、不倫を特に公の場で扱うことは配偶者や子供たちの心の痛みを増すと主張した。^[35]キャロリン・グレゴアは、「ソーシャルメディアは、個人が精神的ダメージを与えることを自ら引き受ける、公の場での攻撃的な非難文化を生み出した」と論じ、多くの場合「罰は犯罪の範囲を超えている」と述べた。 ^[35] グラハム・クルーリーは、非難された人々の精神的影響は計り知れない可能性があり、いじめられて自殺する人もいる可能性があると主張した。^{[36] [37]}浮気をする女性について調査するためにこのサイトに参加したチャールズ・J・オーランドは、浮気を暴露された配偶者や子供たちへの懸念を述べ、「インターネットの暴徒は、裁判官、陪審員、死刑執行人として喜んで働く」と述べ、サイトのメンバーは「何百万人もの傍観者の前で仮想の町の広場で鞭打ちを受けるに値しない」と述べた。^[38]

2015年8月24日、トロント警察は、ハッキングに関連したヘイトクライムの報告に加えて、未確認の自殺2件がデータ漏洩に関連していると発表した。^{[39] [40]}未確認の報告によると、米国で男性が自殺したという。^[28]以前はアシュレイ・マディソンに関連していた少なくとも1件の自殺は、その後、「データ漏洩とは関係のない職場の問題に完全に関連したストレス」が原因であると報告されている。^[41]同日、ニューオーリンズ・バプテスト神学校の牧師兼教授が、6日前に発生した漏洩を理由に自殺した。^[42]

個人情報が漏洩したユーザーは、カナダの法律事務所チャーニー・ローヤーズとサッツ・ストロスバーグ法律事務所を通じて、アシュリー・マディソンの所有者であるアビッド・デート・ライフとアビッド・メディアに対して5億6700万ドルの集団訴訟を起こした。 ^[43] 2017年7月、ルビー・コーポレーションの所有者は、同社が1120万ドルで訴訟を和解すると発表した。^[44] 2019年のインタビューで、アシュリー・マディソンの最高戦略責任者ポール・キーブルは、2015年のハッカー攻撃の結果として、2要素認証、PCIコンプライアンス、完全に暗号化されたブラウジングなどのセキュリティ機能を導入したことを認めた。^[45]

2024年、Netflixは事件に関する3部構成のドキュメンタリーシリーズ『アシュレイ・マディソン：セックス、嘘＆スキャンダル』をリリースした。 ^[46]

Gizmodoの編集長アナリー・ニューイッツは、漏洩したデータを分析した。^[47]最初に、登録された550万の女性アカウントのうち、定期的に使用されているのはわずか12,000件（0.2%）であることを発見した。 ^{[48] [49]}アカウントの大部分は、登録された日に一度だけ使用されていた。ニューイッツはまた、多くの女性アカウントが同じIPアドレスから作成されていることを発見した。これは、偽のアカウントが多数あることを示唆している。女性はメールを非常にまれにしかチェックしていないことも発見した。女性がメールをチェックするたびに、13,585人の男性がメールをチェックしていた。500万の女性アカウントのうち、メッセージに返信したことのあるアカウントはわずか9,700件で、590万の男性アカウントも同様だった。彼らは、「女性アカウントのアクティビティが少なすぎるため、存在しないのと変わらない」と結論付けた。^[48]翌週の続編記事で、ニューイッツは前回の記事で「証拠を誤解していた」ことを認め、サイト上で活動している女性が少ないという結論は、会員と連絡を取る「ボット」の活動を記録するデータに基づいていたとしている。ニューイッツは、アシュレイ・マディソンが男性ユーザーに何百万もの偽のメッセージを送るために7万以上の女性ボットを作成したことを確認した。それでも、彼らは「インパクト・チームから入手したアシュレイ・マディソンのデータベースダンプには、人間の活動を記録するデータはまったくありません。私たちが確認できるのは、偽の人間が本物の人間と連絡を取ったときだけです」と述べている。彼らは、サイトは人間同士の接触を記録しているようだが、インパクト・チームはこのデータを公開していないと指摘した。^[50]

ライブサイトのパスワードはbcryptアルゴリズムを使用してハッシュ化されていました。^{[51] [52] RockYouパスワードに基づく}辞書を備えたHashcatパスワード回復ツールを使用したセキュリティアナリストは、最も簡単にクラックされた4,000のパスワードのうち、「123456」と「password」がライブWebサイトで最もよく使用されているパスワードであることを発見しました。アーカイブされたバージョンの古いパスワードを分析すると、「123456」と「password」が最もよく使用されていることがわかりました。^[53]パスワードが安全でないアルゴリズムMD5で個別にハッシュ化されるという設計エラーにより、最終的に1100万のパスワードがクラックされました。^[54]

ファイナンシャル・ポストのスタッフライター、クレア・ブラウネルは、一部の男性がこの策略に気付いていたことを認めつつも、数回のやり取りさえ行われれば、多くの男性を騙して特別口座を購入させた女性を模倣したチャットボットはチューリングテストに合格できる可能性があると示唆した。^[55]

• このデータ侵害は、2024年にNetflixで配信されるシリーズ『アシュレイ・マディソン：セックス、嘘＆スキャンダル』の題材となる。

• インターネット自警行為
• オンラインでの非難