ヤフーのデータ侵害

2013 年と 2014 年に、アメリカのウェブ サービス企業Yahoo は、史上最大のデータ侵害を 2 回経験しました。Yahoo はこれを認識していましたが、どちらの侵害も 2016 年 9 月まで公表されませんでした。

2013 年のデータ侵害は 2013 年 8 月に Yahoo サーバーで発生し、30 億のユーザー アカウントすべてに影響を及ぼしました。2014 年の侵害は 5 億を超えるユーザー アカウントに影響を及ぼしました。どちらの侵害もこれまでで最大のものと考えられており、名前、メール アドレス、電話番号、生年月日、セキュリティの質問 (暗号化されているものと暗号化されていないものの両方) が含まれていました。Yahoo は 2016 年に侵害を公表した際、2014 年以来 2 度目の侵入を認識していたことを認めました。

これらの事件により、後者の侵害に関係する4人が起訴され、その中には懲役5年の刑を受けたカナダ人ハッカー、カリム・バラトフ氏も含まれ、ヤフーの対応の遅れに対する幅広い批判も引き起こした。その結果、集団訴訟の和解金1億1,750万ドル、米国証券取引委員会からの3,500万ドルの罰金、米国議会による調査、ベライゾン・コミュニケーションズによる2017年のヤフー買収の複雑化などが生じた。

最初のデータ侵害は2013年8月にYahooのサーバーで発生し^[1]、30億のユーザーアカウントすべてに影響を与えました。^{[2] [3]} Yahooは2016年12月14日に侵害を発表しました。^[4] 侵害当時YahooのCEOだったマリッサ・メイヤーは、2017年に議会で、Yahooは2013年の侵害を誰が行ったのか特定できなかったと証言しました。 ^[5]

2013年にアメリカの内部告発者エドワード・スノーデンによってヤフーが国家支援ハッカーの頻繁な標的であると特定されてから1年後、同社は専任の最高情報セキュリティ責任者アレックス・スタモスを雇用した。スタモスの雇用はヤフーのセキュリティ向上への取り組みを示すものとして技術専門家から賞賛されたが、ヤフーのCEOマリッサ・メイヤーはスタモスと彼のセキュリティチームに彼らが推奨したセキュリティ対策を実施するための十分な資金を与えなかったと報じられ、彼は2015年に同社を去った。^[4]

2014年11月か12月、米国司法省がロシア国籍のアレクセイ・ベランとみているハッカーが、5億件以上のアカウントの詳細を含むYahoo!のユーザーアカウントデータベースの2014年11月のバックアップを自身の管理下にあるコンピュータにコピーした。^[6]ユーザーアカウントデータベースには、アカウント名、メールアドレス、電話番号、生年月日、ハッシュ化されたパスワード、場合によっては操作されたウェブクッキーを介した暗号化または非暗号化のセキュリティの質問と回答など、5億件以上のユーザーアカウントのデータが含まれていた。^{[7] [8] [9]} Yahoo!のパスワードの大部分は、解読が難しいとされるbcryptハッシュアルゴリズムを使用していたが、残りは比較的早く解読できる古いMD5アルゴリズムを使用していた。 ^[10]

2014年10月から少なくとも2016年11月まで、ベランと彼と関係のある少なくとも2人のハッカーは、ギフト券コードを探してメールを検索したり、関心のある人物のアカウントを意図的に狙ったり、関心のある企業の検索ランキングを上げたり、Yahooのデータを使用してGmailなどの他のプラットフォームのアカウントに侵入したりするなど、さまざまな違法行為のためにユーザーアカウントの情報とコンテンツにアクセスしました。^[6]このプロセスの一環として、ハッカーはカナダ人ハッカーのカリム・バラトフを雇い、他のプラットフォームのアカウントに侵入しました。^{[11] [12]}

2016年6月、ダークネットマーケットサイトTheRealDealで約2億件のYahooアカウントのアカウント名とパスワードが販売されていると報じられた。^[13] Yahooは、データを認識し評価中であり、ユーザーに状況について警告したが、その時点ではアカウントのパスワードをリセットしなかったと述べた。^[13]

ヤフーは2014年の侵害を2016年9月22日に公式に公表した。侵害に対処するためのヤフーの措置には、暗号化されていないセキュリティの質問と回答を無効にし、影響を受けた可能性のあるユーザーにパスワードの変更を求めることが含まれていた。^[14]また、 ヤフーは、攻撃者がまだシステム内にいるという証拠はなく、攻撃は国家の支援によるものだと主張した。^[14]連邦捜査局（FBI）は、この件を捜査中であることを確認した。^[15]ウォールストリートジャーナルは、ヤフーのデータベースの一部にアクセスできるセキュリティ会社は、攻撃者は国家の支援ではなく犯罪者であり、データベースは繰り返し販売されていたと考えていると報じた。^[16]

2016年11月の米国証券取引委員会（SEC）への提出書類で、ヤフーは2014年に自社のネットワークへの侵入を認識していたが、2016年7月頃に別のデータ侵害事件の調査を開始するまで、侵害の規模を把握していなかったと報告した。 ^{[17] [18]}ヤフーは、侵害発表前の9月9日にSECに提出した書類で、ユーザーデータの「セキュリティ侵害」や「紛失、盗難、不正アクセスまたは取得」を認識していないと述べていた。^[19] 11月の提出書類では、同社はデータ侵害の1つが、ハッカーがパスワードなしで他のユーザーとして認証することを可能にするクッキーベースの攻撃によって行われたと考えていると述べていた。 ^{[17] [20] [21]}（2017年のSEC規制提出書類で、ヤフーは、2015年から2016年にかけて、このクッキーベースの攻撃によって3,200万のアカウントにアクセスされたと報告した。^[22]）

2016年12月、ヤフーは2013年の侵害について公表し、10億のユーザーアカウントが侵害されたと発表しました。 ^[23]ほぼ1年後の2017年10月、同社はその推定を修正し、この侵害で30億のヤフーアカウントすべてが侵害されたと報告しました。^[23]

ヤフーが内部調査を行った結果、メイヤー氏と他の主要幹部は侵入について知っていたものの、会社に報告せず、さらなる侵入を防ぐ措置も講じなかったことが判明した。この調査の結果、同社の法務顧問であるロナルド・S・ベル氏は2017年3月までに辞任し、メイヤー氏への2016年と2017年の株式報酬とボーナス1200万ドルは取り消された。^[24]

2017年3月15日、FBIは2014年の侵入事件で4人の男を起訴した。そのうち2人はロシア連邦保安庁（FSB）に勤務していた。FBIは声明で「問題の犯罪行為は、サイバー犯罪問題に関してモスクワでFBIの連絡窓口を務めるFSB部隊の職員によって実行され、または促進されており、常軌を逸している」と述べた。^[25]

告発された4人の男には、FBIの最重要指名手配犯リストに載っていたハッカーのアレクセイ・ベラン、FBIがベランと他のハッカーにハッキングを依頼するために金を支払ったと告発したFSB捜査官のドミトリー・ドクチャエフとイゴール・セチン、そしてカナダ人ハッカーのカリム・バラトフが含まれている。FBIは、ドクチャエフとセチンがカリム・バラトフに金を支払い、ヤフーの侵入で得たデータを使って特定の標的のヤフー以外のアカウント約80件に侵入させたと主張した。^[26]ロシア当局は関与を否定している。^{[27] [28]}

逮捕された唯一の男であるバラトフは、2017年8月に米国に引き渡された。^[29]彼は有罪を認め、ロシアの連絡先に代わって少なくとも80の電子メールアカウントをハッキングしたことを認めた。彼は9つのハッキングの罪で起訴され、2018年5月に懲役5年の判決を受け、被害者に225万ドルの支払いと賠償金の支払いを命じられた。^[30] 2023年に出版された彼の回顧録には、何千人もの電子メールアカウントをハッキングして資金を調達したパーティーライフスタイルが描かれている。^[31]

ヤフーがこれらの侵害を発見して報告し、セキュリティ機能の改善を遅らせたことは、あらゆるレベルで厳しく批判されている。^[32]

情報漏洩の発表前に、ベライゾン・コミュニケーションズはヤフーの資産の一部を48億ドルで買収する交渉と承認に入っており、取引は2017年3月に完了する予定だった。 ^[33] ヤフーは2014年の情報漏洩をベライゾンに明らかにしたのは、ヤフーの9月の発表の2日前だった。^[15]ベライゾンのCEO、ローウェル・マクアダムはハッキングには驚いていないと述べ、「私たちは皆インターネットの世界に住んでいます。問題はハッキングされるかどうかではなく、いつハッキングされるかです」と語った。^[34] 2017年2月、ベライゾンとヤフーは取引は続行するが、売却価格は3億5000万ドル引き下げて44億8000万ドルにすると発表した。^[35]取引は2017年6月にこの価格で正式に完了し、メイヤーは取引完了後にCEOを退任した。^[36]ベライゾンとヤフーは、この新しい条件の下で、政府による侵害調査の継続的な費用を共同で負担することに合意した。^[37]ベライゾンが購入しなかった資産をまだ保有していたヤフー社は、2017年6月にアルタバに改名された。 ^[38]アルタバが元の会社であったため、後にSECから3500万ドルの罰金を科されたのはベライゾンではなくアルタバであった。^[39]

6人の米国上院議員（エリザベス・ウォーレン、パトリック・リーヒ、アル・フランケン、リチャード・ブルーメンソール、ロン・ワイデン、エド・マーキー）はメイヤー宛ての書簡で、ヤフーが2014年の最後の情報漏洩をいつ発見したのか、なぜ公表までにこれほど時間がかかったのかを問うとともに、情報漏洩と公表の間に生じたタイムラグは「受け入れられない」と述べた。^{[40] [41] [42]} 2016年9月26日、マーク・ワーナー上院議員は米国証券取引委員会（SEC）に対し、ヤフーとその上級幹部が連邦証券法の下で攻撃を適切に公表する義務を果たしたかどうかを調査するよう要請した。2017年、SECは2014年の情報漏洩を適時に公表しなかったとしてアルタバに3,500万ドルの罰金を科すと発表した。 ^{[43] [44]}

2016年11月、2014年後半の侵害に関連してヤフーに対して23件の訴訟が提起されたと報じられた。^[18]サンディエゴの米国カリフォルニア州南部地区地方裁判所に提起されたある訴訟では、原告はハッキングが「個人の財務問題への侵入」を引き起こしたと主張した。^[45]

これら23件の訴訟のうち5件は、2016年12月初旬に1件の訴訟に統合された。^{[46] [47]}この訴訟は後に、Yahooが2013年8月の侵害に関する発表を受けて、侵害に関する最新の情報を含めるように修正された。^[48]裁判が始まる前に、VerizonとAltabaは、2018年10月に5000万ドルの和解費用を集団訴訟の参加者（推定総ユーザー数2億人）と分担し、2年間の無料クレジット監視を提供することに合意した。^[49]裁判官は和解案を却下し、和解の詳細の透明性の欠如と、和解を通じて弁護士が回収した高額な費用を疑問視した。^[50] Yahooは、2019年4月に1億1750万ドルで和解し、影響を受けたユーザーに再度クレジット監視と集団訴訟の被告数に応じた現金支払いを提案した。^[51]

外国政府も、複数のデータ侵害について懸念を示している。2016年10月、欧州のプライバシー規制当局である第29条データ保護作業部会は、2014年のデータ侵害に関する懸念と、同社が米国諜報機関の要請により顧客の受信メールをスキャンするシステムを構築したという疑惑をヤフーに宛てた書簡で概説した。^{[52] [53]}作業部会はヤフーに対し、データ侵害のすべての側面を欧州連合当局に伝え、影響を受けたユーザーに「悪影響」を通知し、「今後の各国のデータ保護当局の調査や捜査」に協力するよう求めた。^[54]アイルランドのデータ保護コミッショナー（ヤフーの欧州本社がダブリンにあるため、ヤフーのプライバシー問題に関する欧州の主導的な規制当局）は、この違反を調査し、「ヤフーのデータ処理業者によるデータ処理業務の監督は、EUのデータ保護法で求められる基準を満たしていなかった」、また「ヤフーは、契約したデータ処理業者がデータ保護法で求められる適切な技術的セキュリティと組織的対策に準拠していることを保証するために十分な合理的措置を講じなかった」という声明を発表したが、罰金は科されなかった。^[55] ドイツ連邦情報セキュリティ局は、2016年12月の発表を受けてヤフーを批判し、「セキュリティは異質な概念ではない」と述べ、政府と他のドイツユーザーに対し、より優れたセキュリティアプローチを採用している企業から電子メールとインターネットのソリューションを求めるよう警告した。^[56]

• 2012 Yahoo! Voices ハッキング

• Yahoo アカウントのセキュリティ問題に関する FAQ