Paidwork : 23 million件のマイクロタスクプラットフォームのアカウントがサイバー犯罪フォーラムにダンプされた - 編集者側は沈黙を守っている

11GBのダンプが売りに出され、2026年7月19日にHave I Been Pwnedに追加された。このダンプには、Paidworkの2300万人以上のユーザーのデータが含まれている。銀行口座、住所、生年月日、bcryptハッシュ化されたパスワードなど、重大な情報が含まれている。Paidworkは公式にまだ反応していない。

事実

Paidwork は、オンラインのマイクロタスクプラットフォーム（モバイルゲームをプレイする、広告を視聴する、アンケートに回答する、アプリをテストする、キャッシュバック、紹介）で、ユーザーの注意と時間を収益化しています。 Have I Been Pwned (HIBP) によると、このプラットフォームは 2026年7月19日 にデータベースに侵入を追加し、 23,272,765人のユーザー が影響を受けました。

The Register は、侵入者の発表に基づいて以下のような時系列を再構築しました：

• 2026年3月 : 侵入が発生（HIBPのファイルに記載された日付）。
• 2026年4月 : データベースがサイバー犯罪フォーラムで公開販売されました。
• 2026年7月19日 : HIBPに統合されました。

販売者は、 HACKFORMETOME の偽名で、 11GB のダンプをハッキングフォーラムで販売し、 Telegram と Tox を通じて収益化を試みました。個々の研究者は発見者として名指しされていません；The Register は、Paidwork が公開時点での問い合わせに応じていないと指摘しています。

暴露された情報

HIBP によると：

• 銀行口座番号
• 電話番号
• 住所
• 生年月日
• プロフィール写真
• IPアドレス
• デバイス情報
• 財務取引および支払い履歴
• 教育レベル
• bcryptでハッシュ化されたパスワード

分析

このダンプで唯一少し安心できる点は、 bcrypt でパスワードを保存していることです（適切なコストでbcryptは、非自明のパスワードに対してオフラインのブルートフォース攻撃に対して耐性があります）。それ以外はすべてが惨憺たる状況です。 生年月日 + 住所 + 電話番号 + 銀行明細 + 支払い履歴 の組み合わせは、特に以下のような身元盗用キットとして使用されます：

• アカウントの乗っ取り（銀行への電話、暴露された番号へのSIMスワップ）。
• 超個人化されたフィッシング攻撃 で、実際のアカウントの知識を証明する。
• 第三者に対する詐欺 で、完全な身元盗用。

データベースが 2026年4月から公開販売されている にもかかわらず、プラットフォームが公開時点で通知していないことは、少なくとも道徳的な違反であり、関係者の管轄区域（ GDPR第34条 : 高いリスクがある場合、「不当な遅延なく」関係者に通知する）によっては法的な違反となる可能性があります。

今後の対策

Paidworkのアカウントをお持ちの方またはお持ちだった方は、以下の手順を実行してください：

1. HIBPで確認 : haveibeenpwned.com - 使用したメールアドレスを入力します。
2. パスワードを変更 （特にパスワードマネージャーを使用していない場合は、どこでも再利用していた場所で変更してください）。
3. MFAを有効にする （SMS以外の場所で可能な限り有効にする） - 暴露された番号によりSIMスワップが可能になるため、TOTPまたはパスキーを優先してください。
4. 銀行詐欺の試みを監視 ; 管轄区域に応じてクレジットフリーズを検討してください。
5. フィッシングに注意 : 今後数ヶ月間、暴露されたデータを使用した信頼性の高いメールとSMSが流通する可能性があります。

セキュリティチーム向け：従業員が含まれている場合は、このダンプを脅威インテリジェンスのアイデンティティ監視フローに統合します（彼らに対するソーシャルエンジニアリングキットははるかに危険になります）。