あるブロガーのスクレイパーが97,931人に漏えいしたパスワードをメールで通知した

Julianによれば、既存の通知サービスには2つの問題があった。ほとんどのユーザーはそうしたサービスの存在を知らず、多くの人が自分の認証情報をさらに別のオンラインサービスに渡すことに不信感を抱いていた。

モデルを逆転させる。ユーザーに漏えい監視サービスを利用してもらうのではなく、自分でダンプをスクレイピングし、露出した各所有者に認証情報が公開されているとメールで知らせるのだ。

Julianは3日間かけてPasteBin系サイトから漏えいしたメールアドレスとパスワードの組み合わせを収集した。2015年5月19日、彼のツールCanaryは事前に書かれた警告メール97,931通を送信した。6月下旬までに彼は30万件のログイン認証情報を収集し、さらなる一斉送信を検討していた。

感謝の返信は9通、寄付はゼロ —「キャンペーンにほとんど費用がかからなかったので、それも全く問題ない」。Julianはこの実験を成功と呼び、多くの支援された人々がスパムフィルターにメールを奪われて返信しなかったことを願った。

主要なハックはいずれもメールアドレスとパスワードの組み合わせを闇市場に流出させており、SlateのLily Hay Newmanは明白な点を指摘した。私たちのほとんどは自分の認証情報がその中に含まれているかどうかを確認しない、と。ATechDadの背後にいる匿名ブロガー「Julian」は、私たちの代わりに確認することにした。彼は3日間かけて、PasteBinのようなプレーンテキストのホストに投稿された漏えいユーザーデータを収集した。使用したのはCanaryと名付けた自作のスクレイパーで、ウェブページから選択したデータを自動的に抽出し、認証情報が露出していることを知らせる事前作成のメールを送信した。

設計上の着眼点は信頼だった。同様のスクレイピングサービスはすでに存在していたとJulianは書いているが、「1. ほとんどのユーザーはこうしたサービスの存在を全く知らない。2. 多くのユーザーは、自分が最も気にかけている情報を別のオンラインサービスに送ることに警戒心を抱いている」。彼の答えはこうだった。認証情報そのものが語ることができる — それがPasteBin上にあるなら、所有者に通知すべきであり、登録は不要だ。

2015年5月19日、Canaryはサイバーセキュリティが危険にさらされている97,931人にメールを送った。Motherboardは、多くの人がフィッシングに見えるメールを無視するだろうと指摘した。Julianが得たのは9通の感謝と寄付ゼロ（「予想外ではなかった」）で、6月下旬までに30万件のログイン認証情報を収集し、2度目の一斉送信を検討していた。「全体として、この実験は成功だったと考える」と彼は書いている。

登録の手順をなくすことで信頼の障壁が取り除かれた。被害者は見知らぬ相手にデータを一切渡すことなく、漏えいを知ることができた。

装置全体は1つのスクレイパーと事前作成のメールだけだった — ほぼゼロコストの一人による公共サービスである。

反応が芳しくなかったこと自体が発見だった。冷たいメールによる侵害通知はほとんど機能せず、それがサービスがいまだ解決できていない問題なのである。

通知の空白は設計上の問題である。人々にさらに別のサービスを信頼するよう求めるのではなく、漏えいがすでに表面化した場所で人々に会うべきだ。

2015年6月下旬の時点で、Julianは収集した30万件の認証情報、9通の感謝、そして2度目の一斉メール送信についての決断を抱えていた — 実験はATechDad上で公開記録され、SlateとMotherboardに取り上げられた。