MacKeeperユーザー1300万人の個人情報が一時Web上に公開されていたもよう。

　Mac用ユーティリティアプリ「MacKeeper」ユーザーの1300万人の個人情報が、一時オープンな状態でWeb上に公開されていたようです。詳細は以下から。

　Forbesによるとセキュリティ研究家のChris Vickeryさんが、グローバルIPに接続されている機器を検索できるサービス「SHODAN [*1]」にMacKepperユーザーのユーザー名や本名、メールアドレス、パスワードのハッシュ、電話番号、IPアドレス、システム情報、ライセンスコードが登録されたデータベース（MongoDBのPort 27017）がオープンな状態で公開されているのを発見したそうです。

Researcher Chris Vickery said he uncovered four IP addresses that took him straight to a MongoDB database, containing a range of personal information, including names, email addresses, usernames, password hashes, phone numbers, IP addresses, system information, as well as software licenses and activation codes. All Vickery had to do was look for openly accessible MongoDB databases on the Shodan search tool.

MacKeeper Leaks 13 Million Mac Owners’ Data, Leaves Passwords Open To Easy Cracking – Forbes

　さらに、Vickeryさんによると公開されていた弱いパスワードはMD5クラッキングツールなどを用いて元のパスワードに変換できてしまったそうで、MacKeeperの運営会社であるKromtechはForbesに対し、MD5を利用していたパスワードは存在したもののSHA512へアップグレードしている途中で、この件に関して個人情報の流出は認められなかったとコメントしたそうです。

According to Vickery, it appeared MacKeeper was using MD5 – long-known to be weak. There are a large number of MD5 cracking tools, all of which can figure out the weaker passwords (e.g. ’123456′ or ‘password1′) in seconds.

The company admitted to FORBES it was using MD5 but was in the process of upgrading to SHA512 . It will be resetting passwords too, but said the decision wasn’t connected to the leak, though it has spurred the company on to make changes.

MacKeeper Leaks 13 Million Mac Owners’ Data, Leaves Passwords Open To Easy Cracking – Forbes

　KromtechはVickeryさんからの指摘によりこの問題を修正し、数時間前に「一時的にオープンになっていたデータベースにはVickeryさんしかアクセスしていない」という公式な発表をブログに投稿しました。

We are grateful to the security researcher Chris Vickery who identified this issue without disclosing any technical details for public use. We fixed this error within hours of the discovery. Analysis of our data storage system shows only one individual gained access performed by the security researcher himself. We have been in communication with Chris and he has not shared or used the data inappropriately.
[…]
We want to offer a special ‘Thank you’ to security researcher Chris Vickery for identifying the security breach attempt so that we could stop it before anyone was harmed.

MacKeeper Security Advisory – ブログ – MacKeeper

　*この騒動の時系列はRedditに詳しくまとめられているので、興味のある方は関連リンクからRedditへどうぞ。

関連リンク

• MacKeeper Leaks 13 Million Mac Owners’ Data, Leaves Passwords Open To Easy Cracking – Forbes
• Massive data breach. – Reddit
• MacKeeper Exposes Data on 13 Million Customers – Mac Rumors