ニュースが報じられた。最悪なことに、RockYouはユーザーの個人情報をすべて平文のままデータベースに保管していたことが判明した。RockYouはまだこのデータ漏洩の事実を認めておらず、公式ブログは奇妙な沈黙を続けたままだ。詳細が明らかになるにつれて、事態のひどさがますます分かってきた。RockYouは「大した問題ではない」ことにしようとやっきになっている。当初まずユーザーに事件を通知せず、次にはブログで「漏洩があったのは古いバージョンのアプリ関連の情報だけだ」とした。RockYouに侵入したハッカーは「全データベースへのアクセスに成功している」と主張し、それを裏付けるために盗んだデータの一部を公開した。そのデータによると、驚いたことに、RockYouはユーザーのパスワードを暗号化せず平文のままデータベースに保管していた。問題のデータにはユーザーが入力した他の提携サイトのパスワードも含まれていることが分かり、事態は当初に考えられていたよりずっと深刻であることがわかった。データベースには、RockYouの提携サービスの一覧と個別ユーザーのそれらサービスへのログイン情報が含まれていた。提携サービスにはMySpaceやウェブメールのアカウントが含まれていた。以下は公表されたデータの一部だ。[32603388]================1|jennaplanerunner@hotmail.com|mek*****|myspace|0|bebo.com2|phdlance@gmail.com|mek*****|myspace|1|3|jennaplanerunner@gmail.com|mek*****|myspace|0|5|teamsmackage@gmail.com|pro*****|myspace|1|6|ayul@email.com|kha*****|myspace|1|tagged.com7|guera_n_negro@yahoo.com|emi*****|myspace|0|8|beyootifulgirl@aol.com|hol*****|myspace|1|9|keh2oo8@yahoo.com|cai*****|myspace|1|10|mawabiru@yahoo.com|pur*****|myspace|1|11|jodygold@gmail.com|att*****|myspace|1|12|aryan_dedboy@yahoo.com|iri*****|myspace|0|13|moe_joe_25@yahoo.com|725*****|myspace|1|14|xxxnothingbutme@aol.com|1th*****|myspace|0|15|meandcj069@yahoo.com|too*****|myspace|0|16|stacey_chim@hotmail.com|cxn*****|myspace|1|17|barne1en@cmich.edu|ilo*****|myspace|1|18|reo154@hotmail.com|ecu*****|myspace|1|19|natapappaslie@yahoo.com|tor*****|myspace|0|20|ypiogirl@aol.com|tob*****|myspace|1|21|brittanyleigh864@hotmail.com|bet*****|myspace|1|myspace.com22|topenga68@aol.com|che*****|myspace|0|23|marie603412@yahoo.com|cat*****|myspace|0|24|mellowchick41@aol.com|chu*****|myspace|0|25|baiko0o@aol.com|may*****|myspace|0|26|indahamzah84@hotpop.com|lov*****|myspace|0|ハッカーは最初に簡単なSQLインジェクション脆弱性を利用した。この脆弱性は10年以上前から詳しく文書化されているもので、ハッキングの手口としてはこの上なく初歩的である。その結果はRockYouにとって壊滅的だった。ユーザーも巻き添えを食って深刻な被害を受けている。RockYouのセキュリティー態勢はスイスチーズも同様に穴だらけでいいかげんなものだったことが暴露された。した事態が起きたのは当然だ―むしろ今まで起きなかった方が不思議なくらいだ。RockYouのどこがいけなかったのか弱いパスワードユーザーがRockYouでアカウントを作る際のパスワードの文字数の下限はたった5文字だった。混ぜるよう要求されることもなかった。それどころか、RockYouのシステムは記号を一切受け付けなかった。パスワードを平文で保管RockYouはデータ漏洩発覚後も依然としてパスワードを平文で保管し、平文のままメールで送信している。ハッカーの侵入が発生したのは10日前であり、RockYouは侵入があったことを承知しているにもかかわらず、今日RockYouでアカウントを作成したユーザーのパスワードは依然として平文で保管され、平文でユーザーにメールされている。提携サイトのパスワードを要求する悪癖サードパーティのサイトでRockYouガジェットを利用したりデータを共有したりしようとすると、RockYouはそのサイトのログイン情報をRockYouサイトで直接入力するよう要求する。FacebookはRockYouにログイン認証させず、独自に認証する方式を取っており、今日からMySpaceもその方式に改めた。他の大部分のサイトではサードパーティのパスワードの入力を要求する馬鹿げた方式が続いている。「当サイトではパスワードは保管しません」と告げたからそれでいいというものではない。対応が最悪RockYouがデータが盗まれたことに気づいたのは何日も前だ。それなのにハッカーがその事実を暴露して大騒ぎになるまでRockYouはだんまりを決め込んでいた。(RockYouは依然としてユーザーに通知していない。ネットでこのニュースを読んだユーザー以外は個人情報が盗まれたことを知らないままだ)。.ウェブサービスを利用するユーザーはそのサービスがデータ漏洩があった場合にそれをきちんとユーザーに伝えることを約束しているか、ユーザーのプライバシーの保護をどれほど真剣に考えているかなどについてサービス約款を調べてみたほうがよい。RockYouはこの重大な問題について依然として無頓着だ。RockYouは未だにデータ漏洩の原因となった欠陥に対処していない。ユーザーに適切な方法で事情を説明することもしない。本来なら、サイトを数時間閉鎖し、ユーザーには新たなパスワードを設定するよう強制しなければならないところだ。そのパスワードは暗号化するかハッシュ化して保管するようにするのが当然だ。ところが大多数のユーザーは何が起きた知らないままだし、このデータ漏洩によって現実に被害を受けるユーザーはほとんどいないだろう。RockYouはユーザーのプライバシーの保護に関してまったく何の保証もしていない。残念なことに、RockYouはこのちゃらんぽらんな態度のまま逃げ切れそうなのだ。読者がパスワードを平文のままメールで送り返してくるようなサービスを知っていたらコメント欄あるいはメールで知らせて欲しい。��れはそれら全てを調査し、必要があれば記事で告発するつもりだ。ちなみにこのサイトのプライバシー及び関連するセキュリティーに関する規約。ユーザーの個人情報の適切な管理と保護とに努める。RockYouはユーザーが当サービスに送信した情報のセキュリティーを保証することはできない。ユーザーは自己責任でこれらのデータを入力するものとする。