Robloxベンダーのデータ流出で開発者会議の参加者情報が流出

Robloxは先週末、2022年、2023年、2024年に開催されるRoblox開発者会議の出席者に影響を与えるデータ漏洩が発生したと発表した。

Robloxは、2億人以上のアクティブユーザーを持つ大規模なコミュニティで、ゲームをデザイン、作成、共有する、若年層に人気のオンラインゲームおよびゲーム作成プラットフォームである。

同社は毎年Roblox Developer Conference (RDC)というイベントを開催しており、ワークショップや新しいツールのプレゼンテーションを通じて、開発者のネットワーク構築、学習、知識の共有を支援しています。

このゲーム・プラットフォームは最近、これらのカンファレンス・イベントの登録プロセスを扱っているベンダーであるFNTechが、何者かにシステムへの不正アクセスを受け、侵害されたことを知りました。

“Robloxのベンダーが最近、2022-2024年のRoblox開発者カンファレンスの登録リストから、Robloxのユーザー情報の一部への不正アクセスがあったことを、同社のウェブサイトを通じて通知してきた。”と、Xで公開された通知には書かれている。

FNTech のシステムから盗まれたデータには、カンファレンス参加者のフルネーム、メールアドレス、IP アドレスが含まれている。

この情報漏えいは、データ漏えい通知サービスHave I Been Pwned(HIBP) にも追加されており、10,386のユニークな電子メールアドレスが暴露されたセットに含まれていると報告している。HIBPによると、漏洩したメールアドレスの63％（6,500件）は新規のもの（以前に漏洩していないもの）だという。

これに関連して、2023年7月、HIBPは、やはりRDCの参加者であり、ハッカーフォーラムでデータが流出した約4,000のRoblox開発者アカウントを追加しました。しかし、そのセットは2021年の古い情報漏えいに由来するようで、2017年から2020年の間のRDC参加者が暴露された。

今回のデータ流出により、影響を受けたRobloxの開発者が直ちに危険にさらされるわけではありませんが、流出した情報は標的型フィッシング攻撃の可能性を高めるものです。

Robloxは声明の最後に、今後同様のデータ流出が発生しないよう対策を講じたと述べている。

Robloxとそのユーザーは、そのコミュニティ規模や活発な経済活動から、過去に何度もハッカーに狙われている。

2022年11月には、20万人以上のユーザーがSearchBloxという悪意のあるChrome拡張機能をインストールしており、この拡張機能にはRobloxアカウントの認証情報を盗むコードが含まれていた。