オランダの売春宿フォーラムで、ある男が25万人のユーザーのプライベートを暴露した

オランダのセックスワーカーとその顧客向けの vBulletin フォーラムが、悪名高い RCE 脆弱性を利用してハッキングされ、25 万人の個人情報 (およびデータ) が露出したと報じられています。

地元放送局NOSによると、オランダ風の親しみを込めて「Hookers.nl」と名付けられたこのフォーラムは現在、サイバー犯罪者のフォーラムでユーザーデータをわずか300ユーロで売りに出しているという。

「メールアドレスに加え、ユーザー名、IPアドレス、パスワードも含まれています。パスワードは保護されており、簡単には解読できませんが、ユーザーのメールアドレスは判読可能です」と放送局は述べ、このデータ漏洩を検証するために自らデータの一部を確認した。

フォーラムのユーザーは仮名のユーザー名で登録する傾向があったが、一部のアカウントに登録されているメールアドレスには実名が含まれているようだ（例：[email protected]）。

現在、フォーラムでは、不安を抱いたセックスワーカーや客らがサイト管理者に自分たちのアカウントとそれに関連するすべての詳細を削除するよう求めるスレッドが立ち上がっている。

管理者が投稿した声明には次のように記されている。

あるユーザーはパニックに陥り、こう返信しました。「最初に登録したメールアドレスは古いもので、今は使われていません。そのため、このメールアドレスにはもうアクセスできません。また、プロフィール設定でこのアカウントに関連付けられたメールアドレスを変更することもできません。プロフィールの「アカウント」タブをクリックすると、必ずHookersのホームページにリダイレクトされてしまいます。設定やデータの確認や調整もできません。メールアドレスを変更できないため、アカウントのパスワードも変更できなくなってしまいました！」

一方、盗んだデータを売りさばいている人物はNOSに対し、「ユーザー数はたったの30万人程度です。毎日何万ものウェブサイトがハッキングされています。私は悪魔ではありません。問題はウェブサイトがハッキングされるかどうかではなく、いつハッキングされるかです」と語った。

当然のことながら、盗まれたデータは、公の場でそのことが知られたくないサイト利用者にとって、深刻な恐喝リスクとなります。

このハッキングは、2015年に起きたアシュリー・マディソンへのサイバー攻撃と必然的に類似することになるだろう。当時、既婚カップル向けの怪しい出会い系サイト「アシュリー・マディソン」は、ユーザーデータベース全体を盗み出された。その後の調査で判明したように、アシュリー・マディソンの内部セキュリティは非常に脆弱だった。

オランダのテクノロジーニュースサイト Tweakers は、攻撃者が、9 月にゼロデイが公開された後に Comodo が修正できなかったのと同じ vBulletin の脆弱性を利用したと報告しました。®