Plexは、2022年に発生したデータ流出に続き、再びユーザー情報が流出したと発表しました。今回の流出では、メールアドレス、ユーザー名、暗号化されたパスワードが含まれているということです。
2022年の流出では、第三者がメールアドレス、ユーザー名、暗号化されたパスワードを含むデータの一部にアクセスしたとしています。
2025年の今回の事案では、許可されていない第三者がデータベースの一部の顧客情報にアクセスしたとしています。流出情報にはメールアドレス、ユーザー名、そして安全にハッシュ化されたパスワードが含まれていました。
前回は、すべてのユーザーにパスワード変更を強制しましたが、今回は必須ではないとしています。ただし、ユーザーに送られたメールには矛盾した表現が含まれているということです。
メールの冒頭では、パスワード変更を推奨する形で案内されています。「アクセスされた可能性のあるパスワードは、第三者が読み取れないように安全にハッシュ化されています。安全を期して、すぐにパスワードをリセットすることをお勧めします」としています。
しかし、メールの後半では「必須」として、パスワード変更を求めています。「Plexアカウントのパスワードをすぐにリセットしてください」とし、パスワード変更後に「接続されたデバイスからサインアウトする」オプションを選択することを推奨しています。これにより、すべてのデバイスからサインアウトされ、新しいパスワードで再度サインインする必要があるということです。
Plexは、今回の流出を引き起こした脆弱性を修正したと発表しており、現在もセキュリティのさらなる見直しを行っている方針です。
