今年は多くの不快なデータ侵害が発生しました。あまりにも多かったので、皆さんも少なくとも一つ、いや、それ以上の被害に遭ったことがあるのではないでしょうか。2020年にこれ以上の惨事が起きるとは思っていませんが、皆さんとデータに影響を与えた、今年最悪の、最大の、そして最も厄介なハッキングをいくつか振り返ってみる価値はあると思います。

はい、ここで話題にしているのはハッキングです。つまり、誰かがあなたのアカウントをハッキングしたという話であり、あなたの生活を向上させるための創造的な方法ではありません。もしあなたがこれらの大規模な情報漏洩について聞いたことがない、あるいは被害を受けたサービスをまだ利用しているのであれば、アプローチを見直した方が良いかもしれません。そうでないとしても、少なくとも今年の最悪のハッキングについて改めて理解し、2020年に同じような厄介な事態に備えましょう。

キャピタルワン銀行

この件は完全に大惨事でした。米国だけで約1億人という相当数の人々が影響を受けただけでなく、キャピタル・ワンは影響を受けた人々への通知を全く適切に行っていませんでした。同社は謝罪のプレスリリースで、「クレジットカードの口座番号やログイン情報は漏洩しておらず、社会保障番号の99%以上も漏洩していない」と述べていましたが、実際には「クレジットカード利用者の社会保障番号約14万件」と「セキュアクレジットカード利用者の銀行口座番号約8万件」が漏洩したとしています。

肝心なのは、企業がデータ漏洩を公表した際には必ず細則を読み、企業が提供するサービスを通じて最初に通知された内容が、実際に起こっていることを軽視しているように感じられた場合は、プレスリリースなどの二次情報源を探すことをためらわないことです。

ジンガ

スクラブル・ワード・ウィズ・フレンズをプレイしたり、スマートフォンで何時間も仮想農場を作ったりした経験のある人はいないでしょうか？多くの人がZyngaアカウントを持っている可能性が高いため、今回の大規模な情報漏洩はさらに懸念を強めています。ユーザー名、パスワード、電話番号、Zynga IDなど、1億7,280万件ものアカウントの認証情報が盗まれました。

結論は？ Zyngaがアカウントに二要素認証（あるいは二段階認証）を提供してくれたら本当に良かったでしょう。そうでなければ、これはサービスでは常に異なるパスワードを使うべき理由を示す好例です。また、利用しているサービスが新たなデータ侵害の対象になったことが判明したら、すぐにパスワードを変更すべきです。Zyngaは最初の発表ではパスワード変更を推奨していない可能性もあるからです。

アマゾンの指輪

AmazonのRingカメラはハッキングされたのではなく、むしろ攻撃者が他のデータ侵害で盗んだアカウント認証情報を使ってRing所有者のアカウントに侵入し、カメラ映像を盗聴しているのだと私は依然として主張しています。どう表現しようと、人々のアカウントが侵入されているのです。特にカメラを機密性の高い場所に設置している場合は、これは好ましくありません。

結論は？ 2要素認証を使いましょう。企業が提供しているなら、ぜひ利用しましょう。自宅のライブ映像を誰かに見られるのと、あなたとの間を隔てているのがシンプルなログインIDとパスワードだけである場合、少し時間を取ってサービスの設定メニューを確認し、アカウントを保護するために必要なあらゆる設定が有効になっていることを確認する必要があります。Ringは、アカウントセキュリティのニュアンスについてユーザーに十分な情報を提供していなかったという点で、ある程度の責任を負います。例えば、アクセス権を持つ人を追い出す唯一の方法はパスワードを変更することであり、2要素認証を有効にするだけでは不十分であることなどです。しかし、複数のサービスで同じパスワードを使い回し、2FAを有効にすることさえ面倒だと感じているなら、それは災難を招くことになるでしょう。

ディズニー+

2番目の詩も1番目の詩と同じです。ディズニーのストリーミングサービス（ベビーヨーダのおかげ）の絶大な人気により、攻撃者は漏洩したログイン情報を使って人々のDisney+アカウントに侵入しています。Zyngaと同様に、ディズニーはDisney+アカウントに2要素認証や2段階認証を一切提供していません。さらに悪いことに、ストリーミングサービスに侵入すると、ディズニー全体のアクティビティにもアクセスできる可能性があります。旅行、予定、買い物、その他ディズニー関連のあらゆるアクティビティを見ることができます。これには、旅行中の写真、ESPNサービスを購入した場合のアクティビティ、ESPNでのアクティビティ（および購読コンテンツ）も含まれます。

結論は？企業がユーザーのアカウントに対してより強力な保護を提供していないことに、私は困惑しています。最近のログイン試行を確認するよう求める、簡単なメールやテキストメッセージを送るだけでも、非常に効果的です。いつものように、固有のパスワードを使用し、アカウント、旅行予約、ESPNストリーミングに何かおかしい点がある場合は、第一の防御策として躊躇せずにパスワードを変更してください。

「コレクション#1」

厳密にはウェブサイトやサービスではありませんが、「コレクション#1」の侵害について触れないわけにはいきません。数字が物語っています。772件の固有のメールアドレス（および関連するパスワード）が、合計27億件のレコードに記録されています。このデータベースのどこかにあなたのメールアドレスが、少なくとも数回は記載されている可能性が高いです。Have I Been Pwned? でご自身で確認することもできます。

まとめ： Have I Been Pwnedのような監視サービスを定期的にチェックしましょう。データ侵害で見つかったメールアドレスを知るのに役立ちます。また、サイトにパスワードを入力するだけで（パスワードのみ、他の関連データは入力しない）、データ侵害で漏洩していないか確認することもできます。これらのツールや、ブラウザやブラウザの開発者が内蔵（または提供）している同様のツールを活用すれば、最新の（そして最悪の）データ侵害に関する情報を常に把握できます。（そして、情報を入手したら必ずパスワードを変更してください。）