Atlas Menuハッキング、6万4000件のユーザーデータ流出

ゲームのルールを破るツールを販売する側が、基本的なセキュリティルールすら守れていなかった——。Grand Theft Auto VおよびCounter-Strike 2向けのチートサービス「Atlas Menu」がハッキングされ、約6万4000件のユーザーデータが流出したことが明らかになった。

通知サービスHave I Been Pwned（HIBP）の報告によれば、攻撃者は5月中にAtlas Menuのシステムに侵入し、データベースを外部に公開。HIBPは6万4000件のユニークなメールアドレスが流出したと確認している。漏洩したデータには、ユーザー名、IPアドレス、サポートチケットの内容、そしてbcryptハッシュで保存されたパスワードが含まれていた。

攻撃の全容

攻撃の主体を名乗る人物は、盗み出したデータベースを公開のGitHubリポジトリにアップロード。「すべてのAtlasシステムにアクセスした」と主張し、顧客記録、サポート会話、メニューライセンスキー、登録日、Rockstar Gamesのアカウント識別子などを入手したとしている。

流出したデータには、BANされたユーザーのリスト、管理者ログ、その他の内部記録も含まれていることが、The Registerによる確認で明らかになった。

ユーザーへの影響

このチートサービスは有料である。つまり、ユーザーは金を支払って不正ツールを購入した上に、個人情報まで漏洩するという二重の被害を被ったことになる。

Reddit上の議論によれば、今回のインシデントはAtlas Menuにとって最初のセキュリティ問題ではないが、これまでのリークと比較して、はるかに多くの機密情報が含まれているとユーザーは指摘している。従来はメールアドレスの流出程度だったが、今回はサポートチケットやアカウント識別子、購入記録までがGitHub上に丸裸にされた。

パスワードはbcryptハッシュで保存されているため、ある程度の保護はあるものの、ユーザーはパスワードの変更を強く推奨する。特に、他のサービスとパスワードを使い回している場合は、速やかな対応が必要だ。

疑惑のスクリーンショットスパイ機能

今回の攻撃者による主張の中で特に注目すべきは、Atlas Menuがユーザーのスクリーンショットを盗み見る機能を備えていた可能性を示唆する点だ。もしこれが事実であれば、チートツールのユーザーは単にゲーム内で不正をしていただけでなく、手元の画面そのものを運営側に監視されていたことになる。

この疑惑が確認されれば、チートサービスに登録したことよりも、不正ツールを実行中に何を画面に表示していたかという点が、より深刻なプライバシー問題として浮上する。

関連するセキュリティ動向

Atlas Menuの流出は、Rockstar Gamesが関与する別のデータリーク事件の数週間後に発生した。先日、ShinyHuntersと名乗るグループが、クラウドコスト監視プラットフォームAnodotを経由してRockstarのデータにアクセスしたと主張。身代金要求を行っていた。

チートサービスはそもそもグレーゾーンどころか、ほとんどのゲームの利用規約に違反する存在だ。しかしだからといって、ユーザーデータの保護が軽んじられてよいわけではない。今回の事件は、セキュリティ意識の低いサービスがどのようなリスクをユーザーにもたらすかを、如実に示している。