Paidworkのセキュリティ侵害により2,300万人のユーザーデータが流出：影響を受けているかどうかを確認してください

オンラインのマイクロタスクを完了すると少額の報酬が得られるプラットフォーム「Paidwork」で発生したデータ漏洩により、2,300万人以上のユーザーの個人情報や金融情報が流出しました。

公開されている情報漏洩報告によると、この侵入事件は2026年3月に発生し、盗まれたデータベースは4月にサイバー犯罪フォーラムで、Paidworkの本番システムから盗まれたとされる11 GBのダンプとして初めて出品された。

流出したデータには、氏名、メールアドレス、自宅住所、電話番号、生年月日、性別、学歴、銀行口座番号、取引履歴、端末およびIP情報、プロフィール写真、個人の興味・関心、ハッシュ化されて保存されたパスワードなどが含まれていると報じられている。

多くのユーザーにとって、1つのタスクにつきわずか数セントしか支払わないサイトに、これほど多くの機密情報を提供するのはリスクが大きい。

なぜこの種の情報漏洩が重要なのか

サイバー犯罪者にとって、このようなデータセットは、標的型フィッシング、アカウント乗っ取り、なりすまし詐欺を行う上での宝の山です。銀行口座情報や取引履歴はそのまま悪用される可能性があり、メールアドレス、パスワードハッシュ、個人情報の組み合わせがあれば、クレデンシャルスタッフィングやソーシャルエンジニアリングがはるかに容易になります。たとえパスワードがbcryptでハッシュ化されていたとしても、脆弱なパスワードや再利用されたパスワードは解読され、他の場所で試される可能性があります。

多くのPaidworkユーザーは、取引額がごくわずかであるためリスクは低いと考えて、「使い捨て」のメールアドレスと再利用したパスワードで登録した可能性が高い。しかし、攻撃者にとって重要なのは、あなたがどれだけ稼いだかではない。彼らが重視するのは、あなたのデータを悪用することでどれだけ利益を得られるかということだ。

わずかな費用で、長年にわたるリスク

何よりも、今回の情報漏洩は、自分の個人情報を誰に提供するかについて、批判的な視点を持って考えるべきだということを改めて思い知らせてくれる出来事です。

1件あたり数セントしか支払わないサイトに、氏名、自宅住所、生年月日、銀行口座情報を提供する前に、その見返りがそれだけの価値があるかどうか、よく考えてみてください。

サービスが機密データの提供を求める場合は、そのサービスがどのようなセキュリティおよびプライバシーに関する取り組みを行っているか、情報漏洩が発生した場合に実質的なサポートを提供してくれるか、そして共有する情報を必要最小限に抑えることができるかを確認してください。判断に迷う場合は、銀行口座情報や身分証明書のコピーといった重要なデータについては、それらを真に必要としており、保護に失敗した際に責任を問える組織にのみ提供するようにしてください。

ご自身のデータが漏洩していないか確認してください

Paidwork社は、この情報漏洩疑惑について公には認めていないものの、盗まれたデータは犯罪者の間で出回っていると報じられており、当社はこれを当社の Digital Footprint Scanner に登録しましたので、ご自身の情報が流出していないか確認することができます。

当社の Digital Footprint Scanner を使用して、ご自身のメールアドレスが、今回のインシデントに関連するデータを含め、既知の情報漏洩データに含まれていないか確認してください。もし含まれていた場合でも、パニックになるのではなく、対策を講じるきっかけとして捉えてください：

• Paidwork（まだこのサービスを利用している場合）および、同じパスワードや類似のパスワードを再利用していたその他のアカウントで、パスワードを変更してください。
• 可能な限り、特にメールや銀行口座、その他の重要なアカウントでは多要素認証（MFA）を有効にし、パスワードマネージャーを利用して、サイトごとに固有のパスワードを生成・保存することを検討してください。
• 銀行の明細書を定期的に確認し、予期せぬ引き出しや不審な取引がないかチェックしてください。
• フィッシングメール、SMS、電話に備えておきましょう。サイバー犯罪者は、流出した情報を利用して、詐欺をより説得力のあるものにすることがあります。
• 本人確認モニタリングや個人情報盗難防止サービスの利用を検討してみてください。