Clubhouseがハッカーに侵入され38億件の連絡先個人情報が流出

以前、夏の花火のように華々しく爆発的に流行し、誰もがコネを使ってでも参加したいと願った音声チャットコミュニティ「Clubhouse」が、外電報道[1]によるとハッカーに侵入された疑いがあります。会員自身のデータだけでなく、全員の連絡先の内容を含め、合計38億件を超え、地球人類の半数分の個人情報がすでにすべて流出した可能性があり、歴史上最大のデータ流出事件と言えます。

ダークネットからの情報

情報によると、ダークネット（Darknet）のメンバーが9月の私的なオークションでClubhouseデータベース一式を最高入札者に売却する計画を立てており、そのメンバーは情報の信頼性を証明するため、事前に最大8300万件の日本国の電話番号を提供し、潜在的な買い手に確認させました。

オークション招待文のスクリーンショット（出典：Twitter）

Clubhouseは当初、招待状認証モデルを採用していたため、一般ユーザーも疑うことなく、これが正常なオンラインの利用方法だと考え、ほとんどがアプリに携帯電話の連絡先を自由に読み取ることを許可し、それを親しい友人や家族を誘って虚栄心が爆発する流行に一緒に参加するために使っていました。

しかしこの事件を通じて初めて、会員自身の個人データだけでなく、携帯電話の連絡先にあるすべてのアカウント情報までもが密かにClubhouseの私的データベースにアップロードされていたことに気づかされ、それが原因でClubhouseが侵入された後に一度に38億件という地球規模の膨大なデータが流出したのです。

Clubhouseはユーザーの利用行動と知名度に基づいて評価システムを策定するため、流出したデータにこれらのシステムパラメータや身元を識別できる情報が含まれれば、ハッカーたちは単純にスコアの高低で並べ替えるだけで、各国政府の上層部から商人や一般市民に至るまでの重要情報を分析して別の用途に使ったり、広告会社やデータ分析産業に売却したりすることが可能になります。

今回の流出事件は知名度のない平凡なユーザーへの影響は大きくありません（何しろ以前、政府自ら中華民国内政部のデータベースがとっくにハッカーに楽しく訪問されていたことを暴露しました）。最大の影響は実はClubhouse自身にあります。

EUはClubHouseをどう扱うのか？

EUが制定した一般データ保護規則（General Data Protection Regulation）では、企業がそのサービスを利用しない、または利用していない個人のデータを収集することを明確に禁止しています。もし流出したデータが本物であると証明されれば、EUは介入して干渉し、最大2000万ユーロまたは売上の4%（いずれか高い金額）の罰則を科すことができ、さらに外国人が起こす可能性のある集団訴訟も加わり、これはまだ収益を上げ始めておらず、ユーザーの熱も冷め、さらに多くの外敵に囲まれたClubhouseにとって間違いなく雪上加霜です。

ClubHouseアプリの削除

今Clubhouseを削除しようと考えているなら、スマートフォンでアプリ（app）をアンインストールする以外に、さらに公式にアカウント全体の削除を要求することもできます。実行手順は『Clubhouseの会員アカウントを削除し、データを削除するには？』[3]をご参照ください。

参考文献

1. Hacker intrusion, leak of address book
2. Reddit: (Foreign Source) The entire Clubhouse phonenumber database (3.8 billion numbers, including contacts) is up for sale on the darknet
3. Clubhouseの会員アカウントを削除し、データを削除するには？