BreachForumsのデータベースが流出、324,000件のアカウント情報が公開

yab

2026.01.13

BreachForumsのデータベースが流出、324,000件のアカウントが公開

BleepingComputer – January 10, 2026

ハッキングフォーラム「BreachForums」でデータ侵害が発生し、ユーザーデータベーステーブルがオンライン上に流出し、メンバーに関する内部情報や、管理者署名用PGP秘密鍵とそのパスワードが公開された。

1月9日、Webサイト「shinyhunte[.]rs」上で、「James」と名乗る人物が7Zipアーカイブ「breachedforum.7z」を公開した。アーカイブに含まれるファイルは以下の3つ。なおこのサイト名はサイバー犯罪グループShinyHuntersの名をもじったものではあるが、ShinyHuntersの代表者によると、同グループと「shinyhunte[.]rs」の間につながりは存在しないという。

shinyhunte.rs-the-story-of-james.txt
databoose.sql
breachedforum-pgp-key.txt.asc

「breachedforum-pgp-key.txt.asc」は、2023年7月25日に作成されたPGP秘密鍵で、BreachForums管理者による公式メッセージの署名に使用されていた。鍵はパスフレーズで保護されているため、パスワードを入力しない限り悪用は不可能な状態になっている。しかしJamesはその後shinyhunte[.]rsを更新し、PGP秘密鍵のパスワードも同ページに含めた。このパスワードが正しいものであることは、ある研究者により確認されているという。

「databoose.sql」ファイルはMyBBユーザーデータベーステーブル（mybb_users）であり、メンバーの表示名・登録日・IPアドレスなどの内部情報に関する323,988件のメンバーレコードが含まれているとのこと。分析によると、多くのIPアドレスはローカルループバックIPアドレス（127.0.0.9）を示しているものの、それ以外のレコード70,296件はパブリックIPアドレスであるとみられる。

ユーザーデータベースの最終登録日は2025年8月11日で、以前フォーラムとして使用されていた「breachforums[.]hn」が閉鎖された日と重なっているため、サイト閉鎖直前にデータが窃取されたと考えられる。また、同じ日に「ShinyHunters」のメンバーがTelegramチャンネル「Scattered Lapsus$ Hunters」に投稿し、同フォーラムおよび公式PGP鍵が侵害され、法執行機関のハニーポットになったと主張していた。

その後「breachforums[.]bf」の元で再度復活したBreachForumsの現管理者「N/A」は前述のShinyHunterの主張を否定しつつ、今回の侵害を認めており、過去にMyBBユーザーデータベーステーブルのバックアップが安全でないフォルダで一時的に公開され、一度だけダウンロードされたと述べている。当該データは、BreachForums[.]hnドメインから復元された古いユーザーテーブルに由来しているとのこと。

ランサムウェアの活動に関与した疑いのロシアのバスケットボール選手、露仏間の捕虜交換で解放

The Record – January 10th, 2026

ランサムウェア集団の活動に関与した疑いのあるロシアのバスケットボール選手Daniil Kasatkin氏が、ロシアとフランスの間の捕虜交換を通じてロシアに引き渡された。ロシアからは「外国の代理人」法違反の疑いで拘禁3年の判決を受けていたフランス人研究者Laurent Vinatier氏がフランスに送還された。

Kasatkin氏は米国ペンシルベニア州立大学でバスケットボールを学び、その後モスクワでプロ選手として活動。しかし、2020年から2022年にかけて約900の組織を攻撃した匿名のランサムウェア集団の交渉役を務めていたとして米国検察により逮捕状が発行され、2025年6月にパリのシャルル・ド・ゴール空港で拘束された。その後、フランスの身柄引き渡し命令に基づき拘留されていた。起訴内容はコンピュータ詐欺共謀罪で、関与していたランサムウェア集団の名称は明らかにされていない。同氏の弁護士によると、Kasatkin氏はランサムウェア攻撃には関与しておらず、容疑は購入した中古のコンピューターに関連するものだという。

フランスからKasatkin氏とVinatier氏の交換を知らされていたかどうかについてのコメント要請に米国務省は応じていないものの、AFP通信はフランス当局が米国政府に対し、Kasatkin氏をVinatier氏と引き換えにロシアに送還すると通告していたと報じた。

司法省は以前、ランサムウェア集団「Conti」が世界中で900以上の被害者を攻撃したと発表していた。米国当局は近年、ロシアのランサムウェア集団やハクティビスト集団を支援したとされるハッカーの身柄引き渡しに相次いで成功しており、昨年10月にはContiのメンバーとされる人物が10月にアイルランドから、12月にはウクライナからハッカーが米国に引き渡されている。