Maine breach portal abused to publish fake data breach disclosures

異例の誤情報キャンペーンとして、メイン州の公式情報漏洩報告ポータルに虚偽の情報漏洩報告が提出され、その正当性が確認される前に公開されたため、各企業はこれらの主張を否定する事態となった。

マルチプレイヤー向けソーシャルVRプラットフォーム「VRChat」が提出したとされる通知が、同州司法長官のデータ侵害開示データベースに最新の記録として追加された。

しかし、同社の代表者は、この情報漏洩通知は偽造であり、架空の従業員の名前を使って提出されたものであると語った。

VRChatはUnityを基盤としたマルチプレイヤー向けソーシャルVRプラットフォームであり、2014年にWindowsおよびOculus Rift向けにリリースされた。ユーザーは、ユーザーが作成した仮想世界でカスタマイズ可能なアバターとして交流する。

image

この偽のVRChatデータ侵害報告によると、ハッカーが同社のクラウド環境にアクセスした結果、240万人以上のユーザーの個人情報が流出したという。

この虚偽情報を投稿した人物は、影響を受けた個人向けの通知書を作成する手間を惜しまず、ハッキング事件は5月10日から12日の間に発生し、以下の種類のデータが影響を受けたと主張している：

  • VRChatユーザー名
  • VRChatアカウントに登録されたメールアドレス
  • VRChat+のサブスクリプション状況
  • デバイス、ハードウェア識別子、IPアドレスを含むログイン履歴
  • VRChatアカウントに紐付けられたSteamまたはMetaのユーザーID

一見すると、この偽の通知は本物のように見え、不正アクセスに関する詳細、フォレンジック調査の結果、ハッキングの検知後に講じた措置、セキュリティ強化に向けた対策が講じられたという主張、そしてユーザーがアカウントの保護を強化するために取るべき行動などが記載されています。

VRChatのコミュニティ責任者であるチャールズ・タッパー氏は、メイン州司法長官事務所のデータベースにあるデータ侵害通知は偽造であると語った：

「VRChatはこのデータインシデント通知を提出しておらず、記載されている従業員やメールアドレスは存在しません。当社のデータやシステムが侵害されたと信じる理由は一切ありません。」

タッパー氏はさらに、同社が「この通知を削除してもらうため、メイン州司法長官事務所に連絡を取っている最中である」と付け加えた。

VRChatのCEO兼共同創業者であるグラハム・ゲイラー氏も、タッパー氏から寄せられた声明を確認した。

メイン州司法長官室も当メディアのコメント要請に応じ、「当該通知は削除される予定である」とし、また「通知の提出に関する意図的な虚偽表示の事例については他に把握していない」と述べた。

今週初め、メイン州司法長官室は、Discordからのものとされる別の不審なデータ侵害通知を掲載していた。そこでは、1,000万人がデータ侵害の影響を受けたと主張されていた。

メイン州司法長官室は、誰でもデータ侵害通知フォームを提出でき、検証なしにポータルに掲載されることを当メディアに確認した。

「当庁はデータ侵害について独自の情報を有しておらず、提出者が情報を入力すると、それが直接サイトに掲載されます。ご指摘いただいた件については確認いたします。ありがとうございます」と、Discordのデータ侵害報告の信憑性について尋ねられた際、メイン州司法長官室は本メディアに回答した。

多くの正式なデータ漏洩通知とは異なり、Discordの登録情報には、漏洩について消費者に通知し、何が起きたか、また影響を受けた人々がどのように身を守れるかを明らかにする、同社からの通知書が含まれていなかった。

会社の住所を除き、Discordの登録情報には、通知を提出した人物の名前、Gmailの連絡先、仮の電話番号など、曖昧で信頼性に欠ける情報が含まれていた。

さらに、2024年7月9日に発生し、2025年8月8日に発見されたという漏洩の詳細や、2000年1月1日という矛盾した消費者への通知日は、虚偽の報告であることを明確に示している。

2025年にDiscordで実際にデータ侵害は発生したが、それは9月20日のことであり、同社のZendeskサポートデスクシステムの侵害が原因であった。

当時、ハッカーらは840万件のチケットから550万人のユーザーデータを盗んだと主張していた。

公式ポータルに掲載されているとはいえ、データ開示情報の信憑性は当然のこととして受け入れてはならない。審査が不十分であるため、詐欺師が誤った情報を拡散しやすく、企業が虚偽の報告が掲載されたことに気付く前に、評判の毀損やパニックを引き起こす可能性があるからだ。

こうした偽の報告は、ジャーナリストや消費者が、公開通知ポータル上の情報を正当なインシデントとして扱う前に、影響を受けた企業に対して独自に情報漏洩通知を確認する必要性を浮き彫りにしている。