Have I Been Pwned? (HIBP、ロゴの表記は「';--have i been pwned?」)とは、セキュリティ専門家のが2013年12月4日に開設した、インターネット利用者が自らの個人情報が漏洩していないかを照会できるウェブサイト。漏洩した数十億件のアカウント情報を含む、数百のやPastebinを収集、分析して得られた情報から、電子メールアドレス、または、電話番号で検索することができる。また、メールアドレスの登録を行うことにより、今後ダンプされたデータにそのアドレスが含まれた場合、通知を受け取ることも可能となる。HIBPは、インターネット利用者のセキュリティやプライバシーの保護のための貴重なリソースとして広く知られている。
2019年6月現在、HIBPは80億件の漏洩情報を有し、ユニークユーザー数は1日平均で15万人、通知サービスへのメールアドレス登録数は300万件にのぼる。
特徴 HIBPは開設以来、主な機能として、一般の人が自らの個人情報の漏洩や侵害が発生したことを確認することができるページを公開している。電子メールアドレスを入力することにより、そのアドレスに関連付けられたレコードを含む、全ての漏洩データのリストを確認することができる。また同時に、その漏洩の発生した背景や、漏洩に含まれる具体的なデータ項目などの詳細情報も提供される。また、"Notify me"サービスを提供しており、今後の漏洩に関連する通知を受け取ることができる。このメール通知サービスに登録を行うだけで、自らの個人情報が含まれる新たな情報漏洩が発覚した際には、即座にその情報を得ることが可能となる。
2014年9月、ハントは、pastebinに掲載された漏洩情報についてTwitterでつぶやくボット"Dump Monitor"を利用し、リアルタイムで、新たな漏洩の可能性のあるデータをHIBPへ反映する機能を追加した。データ漏洩は広く報道される前に、pastebinに示されることも多く、これを監視することにより、情報が漏洩していることについて、いち早く知ることができる。
2018年3月、HIBPはパスワードマネージャーの1Passwordと提携したことを発表、漏洩データであると判明した場合の表示が、従来のパスワードの変更を促すものから、1Passwordの利用を推奨するものへと変更された。このことについて、ハントは自らのウェブサイトで理由を説明し、経済的利益を得るためではないことを主張している。
MozillaはHIBPと提携し、HIBPのデータベースとAPIを利用して日本語でもパスワード漏洩や個人情報流出をチェックすることができるFirefox Monitorを提供している。
Pwned Passwords 2017年8月、ハントは一括ダウンロードが可能なパスワードのデータ3億600万件を公開し、そのデータベース内をウェブ上で検索可能なサービス"Pwned Passwords"をHIBPに追加した。
2018年2月、イギリスのコンピュータ科学者により、パスワード文字列で生成したハッシュ値の一部だけを送信するだけで照合可能な、k-匿名性と暗号学的ハッシュ関数を用いた通信プロトコルが作成された。ハントはこのプロトコルを取り入れたPwned Passwordsの新たなバージョンを公開した。2021年5月28日には検索対象のデータにFBIが捜査の過程で入手した流出パスワードデータを追加したことが発表された。
歴史 公開
情報漏洩における傾向とパターンの分析を行っていた、ウェブセキュリティの専門家トロイ・ハントは、漏洩が発生した時に、自らの情報が漏洩したことに気づいていない人にも大きな影響が及ぶ可能性があることに気づき、HIBPの開発に着手した。ハントは、2013年の10月に発生した1億5,300万件のアカウントに影響したアドビシステムズのセキュリティ侵害を引き合いに出し「おそらく、最も触発されたのはアドビだった」と語っている。
ハントは、2013年12月4日にHIBPを公開し、自らのブログでアナウンスした。公開当初にHIBPのデータベースにインデックスされていたのは、アドビ、ストラトフォー、、、ソニー・ピクチャーズのわずか5件の漏洩事例によるデータのみであった。ハントは当時、HIBPについて以下のように語っていた。
情報の追加 サイト公開以降、HIBPの開発の主眼は、新たな情報漏洩が一般に公表された後、可能な限り迅速にデータを更新することである。
2015年7月、オンラインで既婚者向けの出会い系サービスを展開するアシュレイ・マディソンで情報漏洩が発生し、3,000万人以上の利用者の身元が一般に流出した。この情報漏洩は、おそらくは、規模の大きさや、不倫という恥ずかしい情報であったことが影響し、メディアで大きく報道され、その注目度により、HIBPのトラフィックは570倍に増大した。この事態を受けHIBPは「センシティブ」な情報が含まれる場合には、通常の検索は行えず、メール通知システムの登録者にのみ開示されるように改修が行われた。この機能はアシュレイ・マディソンだけではなく、のようにスキャンダルとなる情報が含まれる可能性のあるサイトからの情報でも利用された。
2015年10月、ハントは匿名の情報源から、無料のホスティングサービスを運営する000webhostより漏洩したとされる1,350万件のメールアドレスと平文パスワードのダンプの提供を受けた。フォーブスのトーマス・ブリュースターと共同で、そのダンプ内のメールアドレスの試験を行い、複数の000webhost利用者に機密情報を確認するなどの調査を進め、000webhostから漏洩したダンプである可能性が最も高いことを検証した。ハントとブリュースターは、漏洩の真偽を確かめるため、何度も000webhostにコンタクトを試みたものの、回答は得られなかった。2015年10月29日、全てのパスワードのリセットが行われ、ブリュースターによる漏洩に関する記事が公開された後、000webhostはフェイスブックを通じて、情報漏洩について公表した。
2015年11月初頭、ギャンブルの決済ブロバイダであるNetellerとSkrillによる情報漏洩について、親会社であるグループが事実であることを認めた。Joomla!の脆弱性が悪用されNetellerから漏洩した360万件、2010年当時、MoneybookersであったSkrillがVirtual Private Networkの侵害により漏洩した420万件、合計780万件のレコードがHIBPのデータベースに登録された。
2015年11月下旬、電子知育玩具で知られるがハッキングされ、HIBPへ匿名の情報源から約500万人の保護者の記録を含むデータが提供された。ハントは、この事例は漏洩としては、これまでで4番目に当たる規模であると述べている。
2016年5月には、数年前に発生していた大規模な情報漏洩が次々と発覚。2009年頃のMyspaceの3億6000万件、2012年のLinkedInの1億6,400万件、2013年上旬のTumblrの6,500万件、出会い系サイトFling.comの4,000万件と、漏洩したそれぞれのアカウント情報が"peace_of_mind"という名前のハッカーによりダークウェブ上で販売されていた。これらの情報はハントへ提供され、速やかにHIBPへ登録された。さらに翌6月にはロシアのソーシャルネットワークサービス、フコンタクテの1億7,100万件の漏洩したアカウント情報がHIBPに追加された。
2017年8月、スパムボットが収集していたメールアドレスのリストの発見に関し、同種の事例としては最大規模の7億1,100万件がリストアップされていたことをBBCニュースが報じ、HIBPに言及した。
売却の失敗 2019年6月中旬、ハントはブログで、売却先はまだ決まっていないものの、HIBPの売却計画を進行していることを発表。ハントが1人で運営していることがHIBPの成長のボトルネックとなっており、KPMGと協力して適任な企業を探していると述べた。
2020年3月、売却計画は白紙となり、引き続き独立したウェブサイトとして運営されることが発表された。
オープンソース化 2020年8月7日、ハントはブログでHIBPのコードベースをオープンソース化する意向を表明し、2021年5月28日に一部のコードの公開を開始したことを発表した 。
脚注
注釈
出典
外部リンク 公式サイト (英語)