DDoSecretsがTeleMessageからハッキングした410GBのヒープダンプを公開

371日前原文(micahflee.com)

概要

TeleMessage のサーバーから 410GB のデータが流出し、DDoSecrets が公開した事案を解説
流出データには個人情報やメッセージが含まれ、研究者や記者のみに提供されている
TeleMessage は Signal などの暗号化メッセージアプリをアーカイブするソフトを提供
元国家安全保障顧問 Mike Waltz らの利用実態が発覚し、大きな社会問題に発展
サーバー脆弱性や製品の暗号化虚偽も明らかになった経緯を時系列で整理

TeleMessage データ流出事件の経緯と影響

TeleMessage と流出データの概要

TeleMessage は、Signal、WhatsApp、Telegram、WeChat などの暗号化メッセージアプリのメッセージを 中央集権的にアーカイブ するソフトウェア企業であることを確認
2025年5月4日にサーバーが ハッキング され、 410GB のデータが流出したことを報告
データには 個人情報（PII） や 平文メッセージ、 メタデータ （送信者、受信者、タイムスタンプ、グループ名）が含まれていることを確認
流出データは ジャーナリストや研究者のみに限定公開 されていることを強調

事件の時系列まとめ

2025年3月 ：元国家安全保障顧問 Mike Waltz が Signal グループで戦争犯罪計画を議論し、議会公聴会で問題化することを確認
2025年5月1日 ：Waltz が TeleMessage の改造版 Signal「TM SGNL」を使用中に撮影され、Tusli Gabbard、JD Vance、Marco Rubio とのやりとりが可視化されたことを指摘
2025年5月3日 ：TM SGNL の ソースコードが GitHub に公開 されたことを報告
2025年5月4日 ：TeleMessage の 最初のハッキング発生、404 Media で報道されることを確認
2025年5月5日 ： 別のハッカーによる二度目の侵入 が発生、NBC News で報道されることを指摘
2025年5月6日 ：TM SGNL のソースコード分析と一部流出データから、 TeleMessage がエンドツーエンド暗号化を虚偽主張 していた証拠が公開されたことを報告
2025年5月18日 ：WIRED で TeleMessage サーバーの 脆弱性詳細 が公開され、誰でも「archive.telemessage.com/management/heapdump」にアクセスすれば Java ヒープダンプ（平文チャットログ含む） がダウンロード可能だった事実が判明
2025年5月下旬 ：DDoSecrets が 抽出済みテキスト付きのヒープダンプ 410GB 分 を公開し、研究者の分析を促進することを確認

社会的・技術的インパクト

TeleMessage のソフトは 2023年2月以降、米連邦政府でも利用 されていたことを確認
元国家安全保障顧問ら 政府高官が機密情報を改造 Signal でやりとり していたことが社会問題化することを指摘
TeleMessage の セキュリティ管理のずさんさ と 暗号化虚偽 が露呈したことを強調
DDoSecrets の活動が、 公益性の高い情報公開 として評価されていることを示す

DDoSecrets への支援呼びかけ

DDoSecrets は 限られた予算 で活動しており、 寄付による支援 を呼びかけることを提案

この一連の流出事件は、 政府の情報管理、 メッセンジャーアプリの信頼性、 サイバーセキュリティの重要性 について再考を促すものであり、今後の動向にも注視する必要があることを提案。

Hackerたちの意見

つまり、彼らのサーバーの一つに/heapdumpエンドポイントがあって、サーバーのヒープダンプを公開してたってこと？この一連の騒動は手に負えないね。でも、このグループは実際には何も「公開」してないよ。記者向けにリクエストフォームを通じてアクセスを提供してるだけだし。実際のメッセージ内容がどれだけあるかは言ってないみたいだけど、410GBのヒープダンプがあるから目を引く数字にはなってるね。

└

イスラエルのソフトウェア会社って、みんな一流で元モサドとか言われてるんじゃなかったっけ？全然そんな感じしないけど。メッセージダンプが面白いものであることを願ってるよ。

└

信頼できて安全（しかも無料）のソフトウェアを奪って、あらゆる面でどんどん悪化させていくなんて想像できる？しかもそれにお金を取るなんて？！どっちが恥ずかしいのか分からないよ：その会社でいることか、それともユーザーでいることか。

└

誰かがJavaアプリを使ってて、誤ってすべてのJMXエンドポイントをHTTP経由で公開しちゃったみたいだね。デフォルトの設定じゃないし、たぶん不注意でやっちゃったんだろう。

└

ヒープダンプがメモリ内のすべてのバイトのコピーなら、「何千ものヒープダンプ」は410GBよりも大きくなるんじゃない？ざっくり計算すると、410GB/1000ダンプ = 1ダンプあたり410MB？410GB/2000ダンプ = 1ダンプあたり205MB？

データがセンシティブでPIIが含まれているため、DDoSecretsはジャーナリストや研究者とだけ共有しています。普段は責任ある開示を支持してるけど、今回はもっと痛みを伴う、ダメージのあるリークが必要だと思う。まず、独裁者やファシスト、オリガルヒは、ハッキングされてもあまり気にしない。彼らはただこれらのツール（または似たようなもの）を使い続けて、政府が求める正しい手続きを無視するだけだ。影響を受けた国の市民は、リーダーが仕事を正しくできていないことに怒りを感じる必要があるし、それは彼らの行動に結果が伴うときにしか起こらない。彼らの無能さが国を危険にさらして、今や彼らが情報を安全に保てなかったことが明らかになった。彼らは大失敗したんだから、思いっきり失敗させよう。次に、ジャーナリストや研究者はほとんど力を失っている。非民主的な世界では（もうすぐそこだ、もう少し時間を与えて）、ジャーナリストが腐敗や無能を暴露すると、そのジャーナリストや研究者は政府によって黙らされる。ジャーナリストを黙らせれば、誰も何が起こっているか分からなくなって、抑圧が止まらず続く。黙らされる人が増えるほど、社会全体に冷え込み効果が広がる；誰も次は自分になりたくないから。これが権威主義者が権力を得る方法だ。抵抗や結果なしの抑圧は、抑圧を正当化する。もしこれが典型的な企業の無能さについての話で、唯一のリスクが株式や個人データだけなら、責任を持って開示すべきだと言うだろう。でも、独裁を止めることに関しては、手袋を脱がなきゃいけない。彼らは絶対にルールを守らないんだから、こっちも守る必要ない。

└

影響を受けた国の市民は、リーダーが仕事を正しくできていないことに怒りを感じる必要があるし、それは彼らの行動に結果が伴うときにしか起こらない。この考え方は本当に危険だよ。「アメリカが大好きだけど、アメリカを救うためにはアメリカ人に本当に痛みを感じさせなきゃいけない、そのためには彼らを目覚めさせて、物事がどれだけ悪いかを見せなきゃ」っていう考えに繋がる。人を傷つけて彼らが傷ついていることに気づかせるのは、ほとんどの場合正しい判断じゃない。

└

完全に同意する。オーストラリアでは内閣リークがあったよね。https://www.abc.net.au/news/2018-01-31/cabinet-files-reveal-... 国営放送局は報道する2つのことを選んで、残りは政府に返しちゃった。このクソを隠す手助けをする行為は、この国の政治の流れを数十年変えた可能性がある。あの内閣には、公共の利益にかなった情報があったはずで、開示が必要だったと思う。Signalgateとかも同じだろうね。どの党に害があろうと関係ない。今起こっていることを考えると、人々はもっと情報を持つべきだと思う。

└

影響を受けた国の市民は、リーダーたちが仕事をちゃんとやらないことで怒る必要があるけど、それは彼らの行動に結果が伴うときだけ起こる。けど、そのリーダーたちがその結果を感じることはないだろうね。情報提供者やエージェントについてのログに何が書かれているかなんて誰にも分からない。公開したら、彼らは終わりだ。

└

"ジャーナリストを黙らせる"必要はないよ。多くの人が、真実はソーシャルメディアのランダムな匿名アカウントや、フォローしているカリスマ的な政治インフルエンサーから来ると思い込まされてるから。どんなリークがあっても、「フェイクニュース」と片付けられれば関係ないし、十分な有権者がそれを信じるからね。

└

「責任ある情報開示の慣行は、私がこれらの人々と政治的に合わないからここでは適用されない！」って言ってるけど、あなたが彼らを「ファシスト」と思ってるのは分かるよ。だけど、国の大多数はそう思ってない。もしあなたの倫理的な意思決定がこの基準に基づいているなら、国の大多数があなたに反対し、あなたを犯罪者として見ることを期待してね。一般的に倫理基準と見なされるものに反するあなたの事後的な正当化は、特に面白いとは思わないよ。あなたが「独裁」と判断するものが、最小限の差別的なハッキングや情報漏洩を可能にするという立場なら、彼女がもし公職に就いたら、同じことをカマブラに対してやられることを期待してね。

初めのTeleMessageの暴露から数週間経ったけど…Signal財団はこのニュースに対して何か反応したの？オープンソースのサードパーティクライアントを非難して、「Signal」という名前をインターオペレーションプロジェクトで使うと商標訴訟を脅かす一方で、防衛請負業者が同じことをしても完全に沈黙してるよね。

└

シグナルが第三者の顧客で、政府じゃないんじゃないかって思わせるね。

└

もっとも好意的な見方をすれば、アメリカ社会の組織は今、静かにしておいて、この政権の復讐的な攻撃を引き起こさないようにしているってことだね。あまり好意的でない見方をすれば、モクシーはシグナル財団の意見を持った妥協しないコアメンバーで、取締役会から外されて完全に公の目から消えちゃった。今のシグナルが何を代表しているのかは、ちょっと不明瞭になってるね。

└

SignalのFOSSフォーク、停止命令が出たの覚えてる？モリーは最近どうしてるの？自己ホストできる代替サーバーはある？

└

Signalはここで何も悪いことをしていないよ。彼らが意味のあることを言っても、スケープゴートを探している人々からの非難を引き寄せるだけだよ。この混乱は完全にTelemessageと、それをトップシークレットの通信に使うことを選んだ人々のせいだね。

└

moxieとfdroidのことでイライラしてるのは他の人と同じだけど、これは彼の正直な仕事から金を稼ごうとする欲望を超えてる。これは、アメリカの戦争援助で何十年も利益を得てきた海外のエリートが、アメリカの大統領職を握っているって話で、みんなこれを単なる無能だと思ってる。ちょっと考えてみて、もし他の政権が聞いたこともない海外の会社が作った電話やコミュニケーションソフトを使ってたら、それが単なる無能だと思う？なんでこんな裏切り者たちが許されるの？

本番環境で認証されていない/ヒープダンプのエンドポイントを露出させるのは初心者のミスだよ、特に政府の機密通信を扱うサービスにとってはね。MD5ハッシュやJSPのような古い技術があることで、セキュリティの衛生状態が悪いことがさらに明らかになる。この侵害は、深層防御と定期的な監査が絶対に必要な理由の教科書的な例だね。

e2e暗号化を禁止したりバックドアを追加したりしたいときに使うのにいい例だね。

俺たちは仕事でずっと重要じゃないことをやってるけど、外部の会社による年に2回のペンテストがあるよ。こんなレベルの無能さが合法だなんて、どうなってるんだ。

└

そうじゃないよ。

└

ソフトウェアエンジニアリングがエンジニアリングとして真剣に受け止められていないからだよね。例えば、どんな責任があるの？

└

それは違うと思う。どうやら彼らもSOC2を偽造してたみたいだね。

TeleMessageのCEOのLinkedInのプロフィール、ひどいAIの手抜き仕事みたいだね。「TeleMessageの舵を取る中で、私のリーダーシップは戦略的な革新と通信ソリューションの進化に対する揺るぎないコミットメントによって定義されています。SaaS製品に焦点を当て、私たちのチームは業界の進化を成功裏に乗り越え、テクノロジーの最前線に留まることを確実にしています。私の役割は、私たちの方向性の監督だけでなく、倫理基準と協力の成功を重視する文化の育成も含まれています。私たちの成果は、結果を出し、複雑な問題を効率的に解決する実績に基づいています。ビジネス開発とマーケティングのイニシアチブを先導し、私たちは通信業界での卓越性の評判を確立しました。2024年にSmarshによるTeleMessageの買収は、私たちのチームの献身と成長を促進し、統一されたビジョンを育む私のリーダーシップの証です。」

└

これ、ひどいLinkedInの言葉遣いにしか見えないな。

└

「俺はCEOだ。俺たちはSaaSだ。俺はCEOだ。」

タイトルは完全に間違っていて、誤情報を広めていることで批判されるべきだね。彼らは何も公開していないし、「研究者」のためだけって言ってるけど、これは「この論文のタイトルを偽って、多くの注目を集めるための方法」ってことだよ。

どんなにひどいSignalのフォークでも、少なくとも合法だった。驚くべきことに、この会社はクラックされたWhatsAppも売ってたんだよね、まったく別の話だよ…しかも人々はそれを買ってた！実際の企業や政府がこのクソを買ってたなんて、信じられないよ。 https://smarsh.my.salesforce.com/sfc/p/#30000001FgxH/a/Pb000...

└

しかも人々はそれを買ってた！実際の企業や政府がこのクソを買ってたなんて、信じられないよ。エピソード：ウォール街では、Global RelayとTeleMessageがコンプライアンスのためのコミュニケーションを実現する主要なプレイヤーだよ。

政治家たちがすべてのコミュニケーションソフトにバックドアを求めてるのが、同じようにやられてるのを見るのが大好き。残念ながら、彼らはこの出来事の間に繋がりを持つための脳細胞か基本的な人間の共感が欠けてるね。

└

残念ながら、彼らはこの出来事の間に繋がりを持つための脳細胞か基本的な人間の共感が欠けてるね。彼らにそれだけの恩恵を与えるのは過大評価だと思う。彼らは自分たちが何をしているか分かってるよ。「自分のためのセキュリティは欲しいけど、あなたのためのは要らない」ってのが明らかで、彼らが自分たちが何をしているかを理解できないほどバカだって主張するのは、まさに彼らが望んでいる通りにやってるってことだ。

ハクソク