RockYou.txt

RockYou社

RockYouは、2005年末にランス・トクダとジア・シェンがサンフランシスコ³で創業したソーシャルメディア²企業で、MySpaceやFacebook向けにスライドショーやゲームなどのウィジェット、アプリを提供していた。同社は2019年2月に破産を申請している。

2009年の流出事件

2009年12月、RockYouのウェブサイトにあったSQLインジェクションの脆弱性を突かれ、約3,200万件のユーザーアカウント情報が流出した。事件の少し前には、データベースセキュリティ企業のImpervaがこの脆弱性を同社に警告していたが、すぐには対処されなかった。

被害を大きくしたのは、同社がパスワードをハッシュ化せず平文のまま保存していたことである。さらに、アカウント²復旧の際にパスワードを暗号化せずメールで送る、パスワードに記号を使えないといった問題もあった。2012年には、米連邦取引委員会（FTC）との和解で、データセキュリティ体制の整備と、児童オンラインプライバシー保護法（COPPA）違反に関する25万ドルの民事制裁金の支払いを求められた。

ワードリストとしての rockyou.txt

流出したパスワードから重複を除いたものが rockyou.txt として出回り、辞書攻撃に使われるようになった。Kali Linux では wordlists パッケージ⁴に含まれ、/usr/share/wordlists/rockyou.txt.gz に置かれている。展開すると14,344,392行になる。

のちに「RockYou2021」「RockYou2024」と名づけられた巨大なパスワード集も出回ったが、これらは過去の多数の流出データなどを寄せ集めたもので、2009年の事件とは名前以外の関係はないとされる。