Twitter利用者2億3000万人の個人情報流出！自分の被害を確認する方法

2023年1月、アメリカのソーシャルメディア大手Twitter（ツイッター）で、約2億3,000万人分のメールアドレスなどの個人情報が流出したとの報道がありました。過去にも約540万件のアカウント情報が流出する問題が発生していましたが、今回公表されたデータはさらに大規模なものとなっています。

2023年1月上旬の時点では、今回の大規模なデータ公開についてTwitter社から十分な説明がなされておらず、自分のアカウントが対象になっているのか気になっている方も多いと思います。そこで、実際に私が使用しているメールアドレスを調べたところ、Twitterに登録していた個人情報が流出データに含まれていることが分かりました。この記事では、Twitterの個人情報流出問題の概要と、Firefox Monitorを使って自分のメールアドレスが流出していないか無料で確認する方法をご紹介します。

Twitterで流出した個人情報の内容と原因

2023年1月6日頃、Twitterの利用者約2億3,000万人分のメールアドレスやユーザー名などを含む大量のデータが、ハッキングフォーラム上に公開されたことが報じられました。今回の問題を理解するためには、2022年に発覚したTwitterのシステム上の脆弱性について知っておく必要があります。

2021年に発生したTwitterのシステム上の脆弱性

Twitter社が2022年8月5日に公表した内容によると、2021年6月に行われたプログラムの変更によって、メールアドレスや電話番号から、それらに関連付けられたTwitterアカウントを特定できる不具合が発生していました。

この不具合を悪用すると、第三者がメールアドレスや電話番号をTwitterのシステムに入力することで、該当するTwitterアカウントが存在するかどうかを確認できてしまいます。特に、普段は匿名でTwitterを利用している人の場合、アカウントとメールアドレスが結び付くことによって、本人の特定につながる危険性があります。

Twitter社は2022年1月に脆弱性の報告を受けて修正を行いましたが、その後、修正前にこの不具合を悪用して収集されたとみられる情報が、インターネット上で取引されていたことが明らかになりました。

なお、この脆弱性によってTwitterのパスワードやダイレクトメッセージの内容が直接取得できたわけではありません。

約540万件から約2億3,000万件へ拡大した流出報道

2022年7月21日頃には、約540万件のTwitterアカウントに関する情報がハッキングフォーラムで販売されていることが報じられました。収集されたデータには、メールアドレスや電話番号とTwitterアカウントの関連情報に加え、表示名、ユーザー名、自己紹介文、プロフィール画像、所在地など、公開プロフィールから取得できる情報が含まれていました。

さらに、2022年12月下旬には約4億件のTwitter関連データが販売されているとの情報が浮上し、2023年1月上旬には、重複分を除いたとみられる約2億3,000万件のデータが公開されたと報じられています。ただし、これらのデータがすべて同じ脆弱性を利用して取得されたものかどうかについては、当初の報道だけでは断定できません。

今回の大規模なデータに含まれていたとされる主な情報は、以下のとおりです。

• メールアドレス
• Twitterの表示名（アカウント名）
• ユーザー名（@から始まるID）
• Twitterのプロフィール情報
• フォロワー数などの公開情報

個人情報流出の記録をまとめている「Have I Been Pwned」には、2023年1月5日付で「Twitter (200M)」として約2億1,152万件のメールアドレスが登録されました。報道による約2億3,000万件という数字とは差がありますが、データの集計方法や重複の扱いによって件数が異なる場合があります。

詳しい情報は、Have I Been PwnedのTwitter流出情報や、Twitter社が2022年8月5日に公開した公式発表から確認できます。

自分の個人情報が流出しているか確認する方法

Twitterの個人情報流出を確認する方法として利用できるのが、無料のオンラインサービス「Firefox Monitor」です。Firefox Monitorは、Webブラウザ「Firefox」の開発元であるMozillaが提供するサービスで、メールアドレスが過去のデータ侵害に含まれていないかを調べることができます。

流出情報の確認には、セキュリティ研究者のTroy Hunt氏が運営する「Have I Been Pwned」のデータが利用されており、Twitterだけでなく、さまざまなWebサービスで発生した個人情報流出についても検索できます。

メールアドレスを入力するだけで過去の流出履歴を分かりやすく確認できるため、専門的な知識がなくても簡単に利用できるのが特徴です。ただし、確認できるのはデータベースに登録されている既知の流出事例に限られ、検索結果に表示されなかったからといって、個人情報が一切流出していないことを保証するものではありません。

Firefox Monitorでメールアドレスの流出を確認する手順

Firefox Monitorの使い方は非常に簡単です。Webブラウザで「Firefox Monitor」と検索するか、Firefox Monitorの公式ウェブサイトにアクセスします。

2023年1月当時の画面には、メールアドレスの入力フォームと、「Stay safe: Get email alerts when your info appears in a known breach」という通知登録用のチェック項目が表示されていました。

このチェック項目は、新たな個人情報流出が確認された場合にメールで通知を受け取るためのものです。流出の有無だけを確認したい場合は、メールアドレスを入力して「データ侵害を確認する」をクリックすれば、検索結果を確認できます。

検索結果には、入力したメールアドレスが過去にどのサービスのデータ侵害に含まれていたのか、どのような種類の個人情報が流出したのかなどが表示されます。複数のメールアドレスを使用している方は、それぞれのアドレスについて確認しておくと安心です。

実際に調べてみたらTwitterの個人情報が流出していた

私の場合、Gmailとメインのメールアドレスを使用して2つのTwitterアカウントを所有していましたが、Firefox Monitorで調べたところ、2011年頃にGmailで作成したTwitterアカウントのメールアドレスが、流出した情報に含まれていることが分かりました。

さらに驚いたのが、今まで登録した記憶のなかった動画共有サービス「Dailymotion」でも、自分のメールアドレスが過去のデータ侵害に含まれていたことです。

Dailymotionでは2016年10月に約8,500万件のアカウント情報が流出する問題が発生しており、メールアドレスやユーザー名のほか、一部のアカウントではパスワードのハッシュ値も流出していました。ただし、パスワードはbcryptという方式でハッシュ化されており、平文のパスワードがそのまま流出したわけではありません。

このように、Firefox Monitorを利用すると、今回のTwitterの問題だけでなく、自分でも忘れていた過去のWebサービスの個人情報流出まで確認できる場合があります。

Twitterの個人情報が流出していた場合の対策

今回報道されたTwitterの大規模な流出データにパスワードが含まれていたという証拠はありません。しかし、メールアドレスとアカウントの関連情報が第三者に知られることで、Twitterを装ったフィッシングメールや、不正ログインを狙った攻撃などに悪用される可能性があります。

個人情報の流出が確認された場合は、以下のような対策を行っておくことをおすすめします。

• パスワードの使い回しをやめる：TwitterとほかのWebサービスで同じパスワードを使用している場合は、それぞれ異なるパスワードに変更する。
• 二段階認証を設定する：認証アプリなどを利用し、パスワードだけでは第三者がログインできないようにする。
• 不審なメールに注意する：Twitterからの通知を装ったメールでも、安易にリンクを開いたり、パスワードを入力したりしない。
• 連携しているサービスを確認する：Twitterアカウントと連携している外部アプリやWebサービスを確認し、使用していないものは連携を解除する。
• 過去に使用していたアカウントも確認する：長期間ログインしていないアカウントや、以前使用していたメールアドレスについても流出履歴を調べる。

私の場合は、Twitterで使用しているパスワードをほかのサービスで使い回しておらず、二段階認証も設定していたため、確認した範囲では不正ログインなどの被害は発生していません。ただし、二段階認証は不正ログインを防ぐための対策であり、メールアドレスなどの個人情報が流出すること自体を防げるわけではありません。

特に注意したいのは、Twitterと同じメールアドレスやパスワードを使って、複数のWebサービスに登録している場合です。メールアドレスが知られただけで直ちに不正ログインされるわけではありませんが、別のサービスから流出したパスワードと組み合わせて攻撃される可能性も考えられます。

まとめ｜Twitterの個人情報流出はメールアドレスの確認から

2023年1月に報じられたTwitterの大規模な個人情報流出問題では、約2億3,000万人分のメールアドレスなどが公開されたとされ、多くの利用者に影響が及ぶ可能性が指摘されました。

私自身もFirefox Monitorを使用したことで、Twitterに登録していたメールアドレスが流出データに含まれていることを確認できました。また、これまで気付かなかったDailymotionの過去のデータ侵害についても知ることができました。

Twitterを長年利用している方や、複数のアカウントを所有している方は、一度Firefox Monitorでメールアドレスの流出履歴を確認してみてはいかがでしょうか。万が一、個人情報が流出していた場合でも、パスワードの使い回しを避け、二段階認証を設定するなど、日頃からアカウントの安全性を高めておくことが大切です。