Zyngaから2億1,800万件のレコードが盗まれたと言われています

9月12日、モバイルおよびソーシャルメディアゲームの開発者Zyngaは、データ侵害を受けたと発表しました。 Zyngaは、おそらくご存じのとおり、FarmVille、Mafia Wars、Zynga Pokerなどのヒットゲームのクリエイターです。何百万人もの人々がこれらのゲームをプレイするために数え切れないほどの時間を浪費してきました。

短いプレスリリースは、誰かが「Draw Something and Words With Friends」の特定のプレイヤーのアカウントログイン情報を盗んだと言った。影響を受けたユーザーの数は明らかにされておらず、漏洩したデータの正確な性質は不明のままでした。 FAQページでは、ZyngaがWords With Friendsプレーヤーを「無効なログイン」から保護するための措置を講じ、Draw Somethingをプレイしたユーザーにパスワードの変更を求められる場合があることをユーザーに伝えました。ハッカーは財務情報にアクセスできなかったことがわかりましたが、全体的には、詳細は事実上薄いものでした。昨日、Gnosticplayersというニックネームで呼ばれるハッカーがThe Hacker Newsに連絡を取り、どうなったのかについてより多くの情報を明らかにしたようです。

Gnosticplayersが帰ってきた

Gnosticplayersは、2月に16回のデータ侵害で盗まれた6億2,000万件のレコードを売ろうとしたときに初めてニュースを出しました。当時、彼はすべての攻撃（一部はその時点で明らかにされていなかった）に対して単独で責任を負い、販売する準備ができているというより多くの情報があると主張しました。次の数か月間、 彼は冗談を言っていないことを証明し 、合計で、10億件以上のレコードをダークウェブで売りに出しました。現在、彼はZyngaもハッキングしたと主張しています。

ログインおよび個人情報が公開された2億件以上のレコード

どうやら、Gnosticplayersは、2019年9月2日以前にWords With FriendsをプレイしたAndroidユーザーとiOSユーザーの情報を含むデータベースにハッキングしました。アドレス、ログイン、ZyngaアカウントID、およびSHA1でソルトおよびハッシュされたパスワード。影響を受けたアカウントに関連付けられた電話番号とFacebook IDも漏洩し、パスワードを変更しようとしたユーザーのパスワードリセットトークンも漏洩しました。残念ながら、これはGnosticplayerが何とか侵害したデータではありませんでした。

彼はどうやら、Draw Somethingを含む他のZyngaゲームをプレイしている人々の情報を含むデータベースを盗んだようです。 The Hacker Newsによると、そこでGnosticplayersは700万以上のプレーンテキストパスワードを見つけました。

Gnosticplayersは信頼できますか？

上記の情報はどれもZyngaによって公式に確認されたものではありません。つまり、一粒の塩と一緒に摂取することはそれほど悪い考えではないということです。それにも関わらず、すでに述べたように、Gnosticplayersは大胆な主張をし、それを実行した実績があります。さらに、彼のバージョンのイベントをもっともらしくするものが1つまたは2つあります。

Zyngaは、いくつかのDraw Somethingプレイヤーにパスワードをリセットするよう強制していると言っていました。同時に、Words With Friendsの場合、ゲーム開発者は、漏洩したパスワードリセットトークンの無効化を伴うまたは伴わない「無効なログイン」を防ぐための措置を講じたと単に述べました。

いずれにせよ、執筆時点では、ZyngaはGnosticplayersの主張について公式にコメントしていないため、何が起こったのかを正確に確認する方法はありません。これは、今までプレイしたZyngaゲームや、再利用した可能性のある他のオンラインサービスでパスワードを変更するよりも悪いことを意味します。