YouHodler、深刻なデータ漏洩

vpnMentorが仮想通貨レンディングサービスを提供するYouHodlerに、プラットフォームのシステムログサーバーが公開されていたことを今月22日に警告したという。

YouHolderは、23日にこの問題を解決し「幸いにもログには機密情報が含まれておらず、影響を受ける人はいなかった」と25日に公開された公式ブログで主張したものの、vpnMentorリサーチャーは今回のデータ漏洩が「深刻な結果」を招く可能性があったことを強調した。
 
 
仮想通貨サービスによる「深刻な」失態
 
公式サイトによると、仮想通貨レンディングを提供するYouHodlerは、世界35か国以上に及ぶユーザーベースを持ち、これまで3500人の顧客に対して1000万ドル以上の取引を処理しているという。

また、同プラットフォームはクレジットカードで仮想通貨を購入できるため、クリプトエコシステムへのオンランプ(入口)としての役割も果たしている。

そんなYouHolderが8600万件の顧客の機密情報を漏洩していたことを指摘したvpnMentorによると、名前、取引金額、またクレジットカード番号を含めるデータが公開されていたようだ。

カードの不正利用を行うのに必要なデータを全て含む以下の情報は、全く暗号化されていなかったという。
 

また、CVV番号を保管することはクレジットカードや取引情報保護における「PCI規則」に違反するとvpnMentorは指摘し、YouHodlerによる今回のデータ漏洩の「深刻な結果」を列挙した。
 

暗号化されていないクレジットカード番号、CVV番号、有効期限、カード名義人の情報を持つことで、悪人はユーザーのクレジットカードを完全に支配できる…銀行情報を利用し、裕福なユーザーをターゲットに選択する可能性もある…ユーザーとウォレット情報が関連付けられると、さらに危険な結果を招く可能性がある。 エジプトなどの一部の政府は、仮想通貨の利用を明示的に禁止している…パスポートまたID番号も漏洩していたので、公式文書を偽造することも可能だ。

 
今回の個人情報漏洩は、vpnMentorが実施していたウェブマッピングプロジェクトの一環として見つけられたという。

「ポートを調査することで既知のIPブロックを探していた」vpnMentorリサーチャーは、IPブロックを見つけた後に「システム内でオープンデータベースを示す穴」を検出したそうだ。

vpnMentorがシステムのデータ漏洩を指摘するのは今回が初めてではなく、（TechCrunchの報道によると）同社はユダヤ人デートアプリ「JCrush」、カナダセルネットワーク「Freedom Mobile」、またフォーチュン500の一社に選出されている「TechData」を含める様々な企業のデーターベース関連の問題を検出している。

取引所を含める仮想通貨関連のサービスを提供する企業のセキュリティが依然として問題となっている仮想通貨業界だが、VASPを対象とした国際的な仮想通貨規制が整備されるとともに、サイバーセキュリティに対する業界全体の意識が変化することに期待していきたい。