1つのプラットフォームでデータ漏洩が発生すると、攻撃者はそこで止まりません。彼らは漏洩したユーザー名を他のサービスに対して実行します。同じハンドルを使い回している場合、その1つの漏洩があなたのデジタルライフ全体の地図となります。
ユーザー名の使い回しがデータ漏洩を拡大させる理由
攻撃者はクレデンシャルスタッフィング（credential stuffing）を使用します：1つの漏洩から得たユーザー名とパスワードの組み合わせを他のプラットフォームで試します。ユーザー名を使い回すと、これが簡単になります。パスワードが異なる場合でも、ユーザー名だけでリンクされたアカウント、プロフィールデータ、リカバリーメールを明らかにすることができます。
ユーザー名検索が明らかにすること
ユーザー名検索は、公開されているソースをスキャンしてハンドルを探します。ユーザー名が存在する場所、どのプラットフォームがアクティブか、時にはプロフィールのスニペットを表示します。これにより、各サイトにログインすることなく、自分の露出面を確認できます。
プラットフォームの仕組みと罠
- Soft-404s（ソフト404）：一部のサイトは、存在しないユーザーに対しても200 OKステータスを返し、汎用ページを表示します。これにより、検索で誤検出が発生する可能性があります。
- ハンドルのバリエーション：攻撃者はアンダースコア、数字、ドットなどの一般的なバリエーションを試します。完全一致のみをチェックする検索では、これらを見逃す可能性があります。
- プラットフォームの特性：GitHubのような開発者プラットフォームでは、コミット履歴に本名やメールアドレスが公開されることがあります。Steamのようなゲームネットワークでは、エイリアスやフレンドリストが表示されることがあります。
| カテゴリー | 例となるプラットフォーム | 使い回しが暴露する情報 |
|---|---|---|
| ソーシャルメディア | Twitter/X, Instagram, Reddit | 本名、場所、ソーシャルグラフ |
| 開発者プラットフォーム | GitHub, GitLab, Stack Overflow | メール、コード、雇用主 |
| ゲームネットワーク | Steam, Chess.com | エイリアス、プレイ履歴 |
| プロフェッショナル | LinkedIn, About.me, Gravatar | 職歴、連絡先情報 |
自分の露出をチェックする方法
TraceSeekは、3.000以上のプラットフォームでユーザー名を20〜30秒でチェックします。最初のスキャンは無料で、アカウント登録も不要です。ソーシャルメディア、開発者プラットフォーム、メディア＆クリエイティブサイト、ゲームネットワーク、プロフェッショナルコミュニティ、フォーラム、デートアプリをカバーします。ハンドルが表示される場所を見つけ、どのアカウントを保護または削除するかを決定するために使用してください。
正直な限界
検索は公開データのみを見つけます。漏洩したデータベース、非公開プロフィール、異なるユーザー名のアカウントを直接見ることはできません。これはスタート地点であり、完全な監査ではありません。データ漏洩の特定のチェックには、Have I Been Pwnedのようなサービスをユーザー名検索と併用してください。
次に取るべきステップ
- ユーザー名検索を実行して、公開アカウントをマッピングします。
- 可能な限りプラットフォームごとにユニークなユーザー名を使用します。
- 重要なアカウントで二段階認証を有効にします。
- データ漏洩後に新しい出現を監視します。