ロシアのサイバー犯罪者グループ、通称「CyberVor」が、全世界の Web サイトなどから合計12億件の ID とパスワードの組み合わせを盗み取った。こんな報告を米国のセキュリティ企業
Hold Security が発表した。 これまで知られている限り最も大規模な情報流出だと主張している。
Hold Security は、2013年に米国 Adobe Systems から流出したユーザー情報を発見した実績を持つ。
同社の報告によると、CyberVor は今回、ウイルス感染によって操り人形と化した PC などのネットワーク「ボットネット」を駆使してインターネット上で標的を漁り、「SQL インジェクション」攻撃に脆弱（ぜいじゃく）な合計42万のサイトを襲って、約12億件の ID とパスワードの組み合わせを入手した。 被害に遭ったのは大企業のサイトから小さなサイトまでさまざまだという。
後になって漏洩（ろうえい）した ID やパスワードは闇市場に出回り、情報流出の監視サービスを展開する Hold Security が一部を発見。以来、調査を進めて来た。
見つかった ID の多くはメールアドレスだった。Hold Security が分析したところ、1つのメールアドレスに対し、異なる複数のパスワードの組み合わせがあった。同じメールアドレスを色々なサービスの ID として使いまわしている人が多いためだろう。 メールアドレスの重複分を取り除いて見ると、流出情報は約5億件まで絞り込めたという。
Hold Security は、これらのメールアドレスのうち一部は用心深いユーザーが設定した偽物である可能性があり、あるいはすでに無効になっている場合もあるとしている。パスワードについても10年あまり使っていない古いものが含まれているかもしれないという。
しかし、にもかかわらず、流出情報の多くは潜在的にユーザーを危険にさらしていると、同社は警告している。
Hold Security では、恐慌に陥らずに対策を立てるよう勧めている。Web サイトを持つ企業に対しては SQL インジェクションに関する脆弱性の再確認などを急ぐよう促している。また一般ユーザーに対し、同社のセキュリティ関連サービスを試すよう促している。