Neopetsの情報流出（2022年）を振り返る｜18か月の侵入とパスワードの教訓

2022年7月、バーチャルペットを育てる老舗のオンラインゲーム「Neopets」で、会員6,900万人分のアカウント情報とサイトのソースコードが、ハッカーによって売りに出されていることが分かりました。のちの調査で、攻撃者は1年半にわたって社内システムに入り込んでいたことも明らかになっています。

NFTや暗号資産を扱うサイトでこの事件を取り上げるのは、ゲームで使っていたメールアドレスとパスワードが、そのまま取引所やウォレットの乗っ取りにつながりうるからです。旧版の記事の日付や金額を一次報道で確かめ直し、その後の経緯と、利用者側でできる対策をまとめます。

何が起きたか：6,900万件のデータが4BTCで売りに

BleepingComputerの2022年7月20日の報道によると、「TarTarX」と名乗るハッカーが、Neopetsのデータベースと約460MBのソースコードを4BTC（当時約9万4,000ドル）で売ると持ちかけていました。データベースには6,900万人を超える会員の情報が入っていたとされます。旧版の記事は7月23日の出来事としていましたが、売りに出されたこと自体はそれより前に報じられています。

含まれていたとされるのは、ユーザー名、氏名、メールアドレス、郵便番号、生年月日、性別、国、登録時のメールアドレス、ゲーム内の情報などです。Neopetsは同日、アカウントのメールアドレスとパスワードが影響を受けた可能性があるとして、パスワードの変更を強く勧めました。

調査で分かった「18か月の侵入」

2022年9月、Neopetsは調査結果を公表しました。BleepingComputerによると、攻撃者がNeopetsのITシステムにアクセスできた期間は2021年1月3日から2022年7月19日まで、およそ18か月に及びます。会社が侵入に気づいたのは、データが売りに出された7月20日だったと説明しています。

流出した可能性がある情報には、IPアドレス、Neopets独自のPIN、ハッシュ化されたパスワードも含まれていました。さらに2015年より前に遊んでいた会員については、使われなくなった古いパスワードがハッシュ化されない状態で含まれていた可能性があるとされました。

対策として、Neopetsは全利用者のパスワードを再設定し、ネットワーク監視や認証の仕組みを強化し、多要素認証を導入する方針を示しました。BleepingComputerは、Neopetsでは2012年にも流出があったと伝えています。

ソースコードが外に出ると、攻撃者はサービスの内部の作りを読み込み、別の弱点を探しやすくなります。流出が報じられた当初、NeopetsのDiscordのモデレーターは、攻撃者がまだデータベースに接続できるならパスワードを変えても効果がないかもしれないと注意していました。調査結果では侵入が止まったのは7月19日とされており、公になる直前まで攻撃者が入り込める状態だったことになります。

Neopetsとはどんなゲームか

Neopetsは1999年に始まった、ブラウザで遊ぶバーチャルペットのゲームです。ペットを育て、ミニゲームや掲示板で遊ぶ仕組みで、大手SNSが広まる前から多くの子どもや若者が利用していました。旧版の記事が紹介していた有料会員の料金は、公式情報で確認できなかったため、ここでは扱いません。

運営会社は何度も変わっています。2005年にViacom、2014年にJumpStart Gamesに渡り、そのJumpStartを2017年に中国のNetDragon Websoftが買収しました。事件の当時は、NFTを使った新しいプロジェクト「Neopets Metaverse」も進められていました。古いサービスを抱えたまま所有者が次々と変わったことは、システムの保守が行き届きにくい背景の一つと考えられます。

その後：運営チームが独立し、NFT計画は終了

Game Developerの2023年7月の報道によると、Neopetsの開発チームを率いていたドミニク・ロー氏がNetDragonから事業を買い取り、新会社World of Neopia, Inc.として独立しました。ロー氏は別のインタビューで、このゲームが10年にわたって赤字だったと語っています。Neopetsが独立した会社で運営されるのは20年以上ぶりです。

新しい運営チームは、それまでのNFT中心の計画を棚上げし、「World of NeopetsにはNFTや暗号資産は使われていない」と説明しました。代わりに、スマートフォン向けアプリの開発や、2020年のFlash終了で遊べなくなったミニゲームの復旧を優先するとしています。事件を起こしたハッカーが特定・処罰されたかどうかは、公開情報では確認できませんでした。

ゲームの流出がウォレットや取引所に及ぶ理由

一つのサービスから漏れたメールアドレスとパスワードの組み合わせは、ほかのサービスへのログインに片っ端から試されます（パスワードリスト攻撃）。子どもの頃に作ったゲームのアカウントと同じパスワードを、いまも取引所で使っていれば、そこが入口になります。

もう一つの危険はフィッシングです。氏名や生年月日、登録していたサービス名が分かっていれば、本物らしいメールを作れます。「アカウントに不正アクセスがありました」と装って偽のログイン画面に誘導し、二段階認証のコードまで入力させる手口もあります。流出の報道が出た直後は、同じサービスを名乗るメールが増えやすい時期です。

特に暗号資産の取引所は、ログインを許せば出金まで進まれるおそれがあるため、ゲームやSNSより一段強い守りが必要です。出金先アドレスの事前登録や、新しい端末からのログイン通知など、取引所が用意している機能もあわせて使います。

利用者ができる対策

パスワードを使い回さない：取引所、メール、ウォレット関連のサービスには、それぞれ別の長いパスワードを設定します。パスワード管理アプリを使うと現実的に続けられます。
二段階認証を設定する：SMSより認証アプリや物理キーのほうが乗っ取りに強いとされます。手順は取引所の二段階認証と不正出金の解説も参考にしてください。
流出の有無を確かめる：Have I Been Pwnedなどの照合サービスで、自分のメールアドレスが既知の流出データに含まれているかを調べられる場合があります。
メール内のリンクから開かない：ログインはブックマークや公式アプリから行います。
ウォレットの復元フレーズは誰にも渡さない：どんな理由でも入力を求めるサイトは疑います。管理の基本はウォレットの安全対策にまとめています。

日本のサービスの場合：漏えい時の報告義務

日本では、2022年4月に施行された改正個人情報保護法で、一定の漏えいが起きた事業者に、個人情報保護委員会への報告と本人への通知が義務づけられました。対象は、1,000人を超える漏えい、不正アクセスなど不正な目的によるおそれがある漏えい、要配慮個人情報や財産的被害につながる情報の漏えいなどです。事業者は発覚から3〜5日以内に速報、原則30日以内（不正な目的の場合は60日以内）に確報を出す必要があります。

日本の取引所やゲームで流出があれば、こうした手続きに沿って通知が届くはずです。ただ、Neopetsのように侵入に長く気づかない例もあります。通知を待つより先に、使い回しをやめておくのが確実です。

なお、海外のサービスは日本の法律の対象にならない場合があり、通知が届くかどうかや時期は、その国の制度や運営会社の方針によって変わります。

よくある質問

Q. Neopetsの流出ではどんな情報が漏れましたか？

A. 報道によると、ユーザー名、氏名、メールアドレス、生年月日、性別、IPアドレス、ハッシュ化されたパスワードなどです。2015年より前の会員については、使われなくなった古いパスワードがハッシュ化されないまま含まれていた可能性があるとされました。

Q. 攻撃者はどのくらいの期間侵入していましたか？

A. Neopetsの調査では、2021年1月3日から2022年7月19日までの約18か月です。会社が気づいたのは、データが売りに出された2022年7月20日でした。

Q. NeopetsのNFT計画はどうなりましたか？

A. 2023年7月に開発チームが独立してWorld of Neopia, Inc.となり、NFT中心の計画は棚上げされました。新会社は、現在のサービスにNFTや暗号資産は使っていないと説明しています。

Q. 自分のアカウントが流出したか調べる方法は？

A. Have I Been Pwnedなどの照合サービスで、メールアドレスが既知の流出データに含まれるかを調べられる場合があります。含まれていたら、同じパスワードを使っているサービスをすべて変更してください。

この記事の出典

※本記事は公開情報をもとにした一般的な情報提供であり、投資の勧誘や助言ではありません。暗号資産・NFTの価格は大きく変動します。最新の情報は各公式発表をご確認ください。

投資ラボ