カテゴリー: プライバシー

カテゴリー
プライバシー

トランプ大統領夫人のメールアドレスをFacebookから探し当てたハッカーの手法

ベルギーの「倫理的な」ハッカーが、フェイスブックのアカウント回復フォームを使って、メラニア・トランプ大統領夫人のメールアドレスを特定し、メールを送った、というニュースです。

ベルギー北部の人口8万人の町アールストを愛する Inti De Ceukelaire さん(@intidc)は、トランプ大統領のベルギー訪問にあわせて、夫人に「ベルギーのラスベガス、ただし金持ちとカジノとホテルは無い」アールストを訪問することを薦めたメールを送ったそうです。

昔からある「メールアドレスからFacebookアカウントを見つける」話ではなく、「Facebookアカウントを持ってる人のメールアドレスを当てる」話です。

必ずアドレスがわかるわけではなく、人によってはアドレスがわかってしまうかもしれないヒントが得られるということなのですが、その手順はこんな感じ。

ログインしてない状態で、「アカウントを忘れた場合」をクリックします

「アカウントを検索するには、メールアドレスまたは電話番号を入力してください。」と言われるのですが、ここでメールでも電話番号でもなく、名前を入れます。

そうすると、合致したり似ているユーザーが出てくるので、

ターゲットを選ぶと、こんな風に、アスタリスクで色々隠されたメールアドレスが表示されるというわけ。

ドメイン名の方は、@gmail.com などだとそのまま表示されるようですし、@y****.c*.jp みたいに隠されていても、よくある無料メールのドメインなら「あ、@yahoo.co.jp だなこれ」とわかることもあるでしょう。

アカウント名の方はというと、 c******8@ みたいに、先頭と最後の文字が表示されるようです。

メラニア夫人のメールアドレスがどんなものだったか、は@intidc さんもモザイクで隠しているのですが、当てることができたということは、ドメインはトランプ氏の関連のものかアメリカ政府関係のものか、あるいはgmail や yahoo mail 等のメジャーなものだったのかもしれません。

そして、アカウント名の方も、たとえば m*****a@ みたいな名前そのままとか、m*******1@ のように名前+数字数桁、が推測できるようなものだったのかもしれません。@intidc さんはスクリプトを回してメールが届くアドレスを探したようなので、後者のように総当たり可能なレベルで明らかなアカウント名だったのでしょうか。

名前等から推測できず、同じ人がツイッターやインスタグラム等別のサービスで使っているアカウントと同一でもなく、極端に短く(3文字で先頭と最後がばれたら後は簡単です)もなければ、必ずメールアドレスがばれる、という話ではなさそうですが、人によっては隠しているつもりのアドレスがまったく知らない他人に推測されてしまうこともありそうです。

via HLN.be via TheNextWeb

カテゴリー
プライバシー

フェイスブックCEOマーク・ザッカーバーグ氏のプライバシー防衛術

Facebook社が大金をはたいて買収した、スマートフォン写真共有サービス Instagram の月間ユーザー利用数5億人突破したということで、Facebook 創業者でCEOでもあるマーク・ザッカーバーグ氏がFacebookアカウントで祝意を寄せています。

この写真を見てChris Olsonさん(@topherolson)がツイッター上で指摘したのは、ザッカーバーグ氏の使っているラップトップの様子。

  • カメラがテープで塞がれている
  • マイクがテープで塞がれている
  • メールクライアントは Thunderbird

zuckerberg-laptop-with-camera-taped

ソーシャルでの写真の共有を、そして最近は動画の共有を強力に推進しているフェイスブックの長としてどうなんだ、という話もあるでしょうけど、常に注目される富豪&有名人としては、身の回りの情報が間違っても他者に収集されないように気を配る必要があるのかもしれませんね。

セキュリティのチェックをしてくれる有能なスタッフがまわりにたくさんいるであろう氏がここまでの注意を払っているのですから、大事な情報を扱っている人はラップトップやスマートフォン等のカメラやマイクは塞いで置くことも検討したほうがいいのかもしれません。

カテゴリー
プライバシー

読者コメントを「過去に遡って全部実名に切り替えます」と発表して恐慌を引き起こした米地方新聞社

アメリカ北西部モンタナ州ビュートの地方新聞社モンタナ・スタンダード(Montana Standard)が去年の11月に発表したのが、新聞社サイトのニュースへのコメント欄の新年からの実名化。

匿名者によるネガティブなコメントに飽き飽きしていたらしいこの新聞社、編集者の『この実名化によって「匿名コメントの持つ腐食性」を食い止められるでしょう』という実名化への動機が紹介されていて、「実名なら人はひどいことを書かないはず」という信仰がいまだ根強いことを感じます。

# これが誤解であることはフェイスブックを見れば明らかなんですが。

しかし、この今回の変更の最大の問題点は、新しく書かれたコメントだけでなく、過去にサイトに書かれたすべてのコメントについて、表示名(screen name)で表示されていたものを本名(real name)に変えるところにありました。

実名での表示を望まない人は12月26日までに「なぜ自分のコメントを削除すべきか」理由を添えて申請するように、と案内されていましたが。そんな新ルールを過去のコメントに対して適用されてしまうことに対して怒った読者がコメント欄に殺到。

結局、申請締め切り前の12月中旬に、この新聞社は「過去のコメントは全部、単に削除します」と訂正を入れて騒動は収まりました。

過去のコメントの内容自体には、役に立つものや貴重なものもたくさん有ったでしょうに。どうしても実名制に移行したいなら、過去分だけニックネームのままにする、という手もありそうなものですが、新聞社の声明によれば、同社のコンテンツ管理システム(CMS)の制限のために、全削除という対応に変わったということ。

この事件から得られる教訓

コメント欄に書くための会員登録ですが、「実名」のところも好きな名前を入れられたようです。

「実名」と「表示名」欄があることで、つい実名の方には本名を書いてしまった人も多かったのだろうと思いますが、まさか後になって実名の方が広く公開されてしまうことになろうとは、想像しなかったというところでしょう。

しかし、本名を登録したサービスが後々どういう方針に変わるかなんてわかりませんし、買収等でまったく別の会社があなたの本名を別の目的で使うこともあるかもしれません。

今回は苦情が多くて撤回されましたが、そもそも必要もないところで本名を記入したり与えたりしない、というのが、賢いネットの歩き方と言えるのではないでしょうか。最初から与えていなければ漏れることも悪用されることもないわけで。生年月日やら何やらもね。