AppleのUDID 100万件の漏洩元はコンテンツ配信サービスのBlueToadだった―プログラマーが１人で突き止める

先週、AppleのUDID（ユニーク・デバイスID）100万件を公開したAntisecというハッカー集団は、ジェイソン・ボーンばりに「FBIのノートパソコンに侵入して入手したものだ」と主張していた。 真相は結局そのようなセンセーショナルなものではなかったが、テクノロジーの観点からするとはるかに興味深かった。

昨日報じられたように、データはアプリやコンテンツの配信サービス、BlueToadから盗まれたものだった。同社のコンピュータは最近ハッキングの被害を受け、顧客リストが流出していた。

BlueToadのデータが漏洩元だということが発見された経緯が興味深い。UDIDのデータが公表されると同時にセキュリティーの専門家でプログラマーのDavid Schuetzはデータの精査を始めた。データをソートして重複をチェックすると、面白いことに気づいた。あるUDIDが繰り返し現れるのだ。

Schuetzは「重複したデバイスIDは漏洩元の企業に属するのではないか」と考えた。上記のデバイスIDのデバイス名は以下のようだった。

つまり1つのデバイスが多数のアプリに使われたのだろう。企業が社内でテスト用に使っていた疑いが強くなった。これを端緒としてさらに調査を進めるとBlueToadが漏洩元だと確信できた。Schuetzは密かに同社に連絡を取った。

幸い、BlueToadのCEOは真相解明に進んで協力してくれた。

さて教訓は？　「国民を監視するのを助けるためにAppleがFBIにデータを渡し、ハッカーがFBIのノートパソコンに侵入してデータを盗み出した」という最初の話はいくらなんでもできすぎだった。それが事実だったらひっくり返るような大事件になっていただろう。しかし本当の漏洩元を突き止めるには一人の熱心なプログラマーがコマンドラインからいくつか命令を打ち込むだけでよかった。いっとき「世紀の漏洩」と騒がれた事件だったが、結局は高校生のワルガキがアプリ配信サービスのデータベースに侵入しただけといったことだったのかもしれない。

[原文へ]

（翻訳：滑川海彦　Facebook Google+）