Taylor Wessing LLPおよびValve Corporationによる視覚のみのPDF墨消しを暴露・解明するためのユニバーサルフォレンジック監査＆レイヤー分解スイート。
このページの内容
🔍 エグゼクティブサマリー
ユニバーサルPDF墨消し監査・レイヤー分解ツール は、プロフェッショナル向けのオフライン優先型フォレンジック監査およびレイヤー分解スイートであり、視覚のみのPDF墨消し（レッドアクション）脆弱性を特定、検証、および無害化するために特別に設計されています。このツールキットは、セキュリティ研究者、データ保護責任者、およびコンプライアンス監査人が、公開開示前に文書の構造的整合性を検証するためのオープンソースユーティリティとして機能します。
⚖️ 技術的権力の非対称性
この監査ユーティリティは、企業のデータ処理における重大な権力の不均衡に対処するために構築されています。巨大なコングロマリット（例えば、 Valve Corporation)は、エリート法律事務所（例： テイラー・ウェッシング法律事務所）、いかなる体系的なデータ流出も企業やその高額報酬の弁護士には痛手を与えませんが、それは彼らの顧客のプライバシーを壊滅的に侵害するものです。 対戦相手 （個人データ主体、第三者ユーザー、および法的・技術的過失により機微な個人データが漏洩した未成年者）。このツールキットは、個人および独立監査人がデータの安全性を検証し、企業関係者に説明責任を負わせることを可能にする。
📊 ケーススタディ：Taylor Wessing／Valve GDPR漏洩
GDPR第15条に基づくサブジェクト・アクセス要求（SARs）の処理中、外部カウンセルによって処理・発送された文書において、Steamユーザーデータに関する重大なセキュリティ脆弱性が特定されました。 テイラー・ウェッシング法律事務所 ～を代表して Valve Corporation.
技術的障害分析
生の文字配列をPDFコンテンツストリーム内で恒久的にサニタイズする代わりに、自動化されたカスタムPDF生成パイプライン（を利用して Aspose.PDF for .NET) が展開されました。このシステムは、機密フィールドの座標をプログラム的に照会し、描画しました。 ソリッドブラックのベクターシェイプ （PDF の re そして f/F/b/B オペレーター）をテキストの上に重ねる。
ビジュアル描画レイヤーは、その下にある生のテキスト配列を変更または破壊しないため、アカウント認証情報、ログイン情報、電子メール、セキュリティログ、および未成年者の非匿名化データを含む、無修正のままの何千ものプライベートレコードが、完全に無傷で、コピー可能で、送信されたファイルから抽出可能な状態で残っていました。
📂 証拠資料A：パトリック・ツアハイデ博士との流出した通信記録
以下は、受け取った正確な応答です。 パトリック・ツアハイデ博士 (テイラー・ウェッシング法律事務所の給与制パートナー)は、PhishDestroyが同事務所に対し、PDFの墨消し処理の失敗と、それに続くSteamユーザーデータの漏洩を正式に通知した後、GDPR第33条に基づく侵害通知を開始する代わりに、これを書くことを選択した。
こんにちは、PhishDestroyチーム、
ご返信ありがとうございます。翻訳されたようですが、なかなか面白いメッセージですね。ところで、PhishDestroyチームへの「刑事訴追に関する」コミュニケーションとは、具体的にどの通信を指しておられますか？私はこれまでPhishDestroyと何らかの形で連絡を取ったことは確かにございません。つきましては、何についての話なのかを理解するため、その主張される通信内容を開示していただけますでしょうか。
残念ながら、貴殿の書簡の内容は、理解が困難であるか、あるいはほとんど追跡不能であります。参考までに申し上げれば、貴殿の書簡の下部に記載されているような免責事項—何を行わない、または意図しないとされる旨—は、実際の行動がそれに反する場合には、無意味であります。
パトリック・ツアハイデ
🔍 PhishDestroy分析：
- 「楽しいメッセージ」 高額報酬を得ている「IT法専門家」が、未成年者のSteamアカウントが露出した大規模なGDPRデータ漏洩に関するフォレンジック通知を「面白い」と呼んだ。
- 「非常に難解で、まったく追跡不能」 我々は彼に正確な16進値、彼のPDFのメタデータ、36秒のバッチパイプラインのタイムスタンプ、そして特定の情報を提供した。 Aspose 20.8 漏えいを引き起こしたバージョン。どうやら、IT法の博士にとってIT指標は「追跡するのが難しすぎる」らしい。
🛠️ マルチツール機能
このスイートは、偽の視覚的編集を分析・解体するための、完全にクライアントサイドで動作する3つの補完的なモードを提供します。
- 📡 モード1：X線スキャナー（PDF.js）： 視覚的なPDF表示をレンダリングしつつ、基礎となる未編集のテキスト文字をリアルタイムで取得します。黒いボックスは見えても、秘密は即座に読めてしまいます。
- ✂️ モード2：レイヤーストリッパー（PDF-Lib）： 外科的ストリームレベルサニタイゼーション。長方形の視覚ペイントコマンドを物理的に置換します。
re f,re F) を伴ってn(no-paint)オペレーター、黒いバーを削除中。 - 🔎 モード3：衝突監査（Fitzレイアウト）： 重なり合うテキストとグラフィックスをハイライトし、漏洩情報の自動編集リストを生成します。
💻 CLIの使用方法 (decensor.py)
# 1. Decompose PDF to raw text layers (Strips all drawings, lines, and masks globally)
python decensor.py -i compromised.pdf -d -o naked_document.pdf
# 2. Extract and save all text hidden under black visual shapes to a leaks text report
python decensor.py -i compromised.pdf -e verified_leaks.txt
# 3. List page-by-page structural element counts
python decensor.py -i compromised.pdf -l🔍 コアPythonストリームサニタイザー
import re, fitz
def strip_black_bars_global(input_path, output_path):
doc = fitz.open(input_path)
for xref in range(1, doc.xref_length()):
if not doc.is_stream(xref):
continue
try:
obj_dict = doc.xref_object(xref)
if any(m in obj_dict for m in ["/Type /Font", "/Subtype /Image", "/Type /Halftone"]):
continue
stream_bytes = doc.xref_stream(xref)
text = stream_bytes.decode('latin-1')
# Swap rectangular painting operators with no-fill 're n', preserving newlines
modified_text, count = re.subn(
r'\bre\s+([fFbB]\*?)(?=\s|$)',
lambda m: f"re{m.group(0)[2:-len(m.group(1))]}n",
text
)
if count > 0:
doc.update_stream(xref, modified_text.encode('latin-1'))
except Exception:
continue
doc.save(output_path, garbage=4, deflate=True, clean=True)
doc.close()ライセンス · 権利 · 免責事項
PHISHDESTROY
ライセンス · 権利 · 免責事項
調査: Valve Corporation / Steam · 公開 — 有効期限なし、撤回不可
MIT PUBLIC DOMAIN OFAC-RESTRICTED
第1章 — ライセンス
PhishDestroyはこの資料に関するすべての権利を放棄します。ゼロです。消えました。終わりです。複製しても、販売しても、自分の名前を載せても、上司にタトゥーにしても、何でも構いません。クレジット表記は不要、DMも不要、お礼のカードも期待していません。
唯一の実際のルール
ロシアまたはOFAC制裁対象国のユーザーである場合 — この資料はあなた向けではありません。抜け道はありません。制裁を楽しんでください。そして、モスクワに座りながらSteamの地域をTurkeyに変更したなら — 創造的な地理学を祝福します。あなたは依然としてロシア人です。制裁は依然として適用されます。それがまさにポイントです。
第2章 — これは何か、そしてなぜ存在するのか
私たちは、平均的なValve社員が自分自身について知っていることよりも多くのValveに関する情報を公開します。Steamは基本的に私たちを生み出しました。詐欺師、サポートチケット、BAN回避エコシステムで私たちを育て — そして今、ここにいます。恨みはありません。むしろ詩的です。彼らがSpoofingの問題を修正するのを4年以上待ちました。それまで公開して書くことはできませんでした。これは対立ですか？いいえ。解決できますか？はい。しかし、私たちはNDAに署名せず、数セントのバグバウンティのためにプレイしません。
第3章 — Valveへの公開書簡
Valveへ。私たちのドメインを削除することを考えているなら — 単にメールしてください。Dr. Patrickにまた金を払わないでください。お願いします。関係者全員にとって恥ずかしいことです。
私たちはValveに直接的な「損害」を与えますか？おそらく、彼らが財政的に感じるような形では与えません。私たちは妄想を抱いていません。しかし、私たちは誠実に、オープンに、影響力を追いかけずにそれをします。5年分のアーカイブがあります。規制当局には原本が渡されます。研究者やジャーナリストには編集版が渡されます。PhishDestroyはコミュニティであり、個人ではありません。
取引（公開オファー、弁護士不要）
ドメインを消したいなら：IT法のプロフェッショナルに価格を計算させなさい。50%はSEAL Foundationに寄付されます。ドメインを消します。ドラマなし。裁判なし。終わり。他の方法では手に入りません。それは脅しではありません。それは単に状況の構造です。
第4章 — 金銭、BAN、そしてその大騒ぎ
Steamがギャンブルサイトや詐欺師をBANすることについてですが：それは執行ではありません。それは収益の捕捉です。Valveは金をポケットに入れ、手を洗い、ステージに上がって皆に健全な物語を語ります。その間、Valveは2017年にスキンを適切に追跡する機能を殺しました。私たちはそれを証明します：スキンはMoneroよりも匿名です。ペルーのカルテルはDota 2のスキンを資金移動に使用したとされています。Steamは機能上、約70億ドルの「トレーディングカード」に相当する制裁回避マシンです。
第5章 — マルウェアの問題
私たちはゲーム内の脆弱性を公開しません。Steamに報告もしません。できないからではなく、彼らのバグバウンティは約3コペックの価値しかなく、私たちは3コペックのために働かないからです。私たちのセキュリティ同僚はすでにSteamサポートに報告しました。これは自明のCSGOバリアントではありません。これは以下に近いです：サーバー接続時のRCE。つまり — サーバーに参加し、何もクリックしません。接続自体が攻撃面です。脅威は活動中です。
使用および権利に関する宣言
PhishDestroy プロジェクト & サイバーセキュリティ連合
1. 使用に関する条件はない
この紹介文において連合が作成したすべての資料 — 事実の陳述、分析、証拠、ツール、および調査結果 — はいかなる権利の留保もなしに公開されます。誰でも、連合に尋ねることなく、通知することなく、複製、適応、編集、書き直し、翻訳、抜粋、公式文書への組み込み、自分の作品として提示、または他の誰かに渡すことができます。
2. なぜこれが実務上重要なのか
ここには絡みつくものなど何もない。連合は何も求めず、何も請求されず、何も保持しておらず、いかなる種類の期待も持っていません。この資料を使用する権威は、連合のために行動しているのではありません。それは、たまたま他の誰かによって集められた公開情報を使用しているだけです。
3. すべてはすでにオープンである
調査はphishdestroy.ioでオープンに公開されています。ツールはgithub.com/phishdestroyでMITライセンスの下でオープンソースとして公開されています。方法論は紹介文に示されています。連合は寄付を受け入れず、2018年以来その立場を公開しています。
4. 証拠バンドルの完全性
各納品には、提供されたすべてのファイルのSHA-256ダイジェストを列挙したファイルSHA256SUMSと、分離されたOpenPGP署名SHA256SUMS.ascが付属します。署名鍵はphishdestroy.io/.well-known/pgp-key.txtおよびkeys.openpgp.orgで公開されています。
5. レジスター（文体）について
権威は連合の公開調査に出会い、それが率直で、敵対的で、時には風刺的だと感じることがあります。その印象は正しいです。連合は意図的にそのように書いています。免責事項は、実質をレジスター（文体）から分離するためのメカニズムです：権威は有用な部分を取り出し、自分の声で再述し、連合のスタイルのすべての言葉を破棄することができます。そうすることで失われるものは何もありません。
6. 連合が提供しているもの
情報、研究、観察。連合に権限がないと主張する調査結果として何もない。連合は救済、支払い、承認、または自分自身のための結果を求めません。紹介文に示された質問が、回答を強制する権限を持つ機関によってValve Corporationに提起されることを求めるだけです。
結びの注記 — これを前進させる誰かへ
私たちは、この資料が必要な場所へ届ける誰かに感謝したいと思っています。Valveは深いポケットを持ち、Taylor Wessingは時間単位の請求をします。私たちは自分が何をしているかを知っています。私たちは誰について書いているかを知っています。著作者権は必要ありません。帰属表示は必要ありません。勝利は必要ありません。私たちが求めているのは、すでにこの紹介文にある質問をValveに問い、回答を要求する権限を持つ実際の権威を持つ誰かです。それだけです。それがすべての要求です。
PhishDestroy — 公開調査 — すべての権利を人類に譲渡 · OFAC地域へのアクセス：禁止