そこでMumsnetはその週末、全ユーザーにパスワードの変更を求めることにした。ただし、Heartbleedが悪意ある目的に利用されているかどうかについては、同社はまだ確認できていないという。

　MumsnetはWebサイトで次のように説明する。「漏えいしたデータは不正ログインに使われる恐れがある。その場合、投稿履歴や個人的なメッセージ、プロファイルが不正にアクセスされる可能性がある。ただしこれまでのところ、誰かのアカウントがセキュリティ侵害を警告する以外の目的で使われていることを示す証拠は確認されていない」

　「当社には、今回の件で影響を受けたユーザーを特定するすべがない。最悪の場合、全てのユーザーアカウントのデータが不正にアクセスされた可能性もある。そうした状況であることから、全ユーザーにパスワードの変更を求めている」と、説明は続く。

　またカナダの税務当局であるカナダ歳入庁は、同庁Webサイトに声明を掲載し、Heartbleedを悪用する何者かによって、納税者約900人の社会保険番号がシステムから削除されたことを明らかにした。同庁はOpenSSLの脆弱性の存在を知った時点ですぐにオンライン納税申告サービスを停止する措置を取ったが、この問題が発生したという。

　カナダ歳入庁はHeartbleedの修正パッチを適用し、システムの安全性を確認した上で、4月13日にサービスを再開した。ただし、セキュリティ侵害を一掃する作業は終わったわけではない。

　「業務に関わるデータも削除された可能性があり、目下、そうしたデータについて徹底調査中だ」と、同庁は説明する。

　「強固なセキュリティ対策にもかかわらず、当庁も、Heartbleedに対して脆弱な多くの組織の1つであった」と、同庁は続ける。「Shared Services Canada（カナダ政府機関全般のITインフラ管理を担う組織）とセキュリティパートナー各社の熱心なサポートのおかげで、システムを復旧させるまでの間、侵入を抑えられた。これまでの解析によると、このセキュリティ侵害の前にも後にも、当庁への侵入は他には発生していないようだ」

　Heartbleedの脆弱性を悪用したエクスプロイトの存在は、攻撃者が機密情報を少しずつ収集できることを示している。ただし、このバグに関わるより深刻な懸念事項の1つ、「SSL秘密鍵の盗難」については、まだ疑問は残ったままだ。

CloudFlareとAkamaiはHeartbleedの複雑さを確認

　Heartbleedを「過去最大級のインターネットバグの1つ」と指摘するセキュリティ専門家が増加する中、コンテンツ配信ネットワーク（CDN）の大手2社も、Heartbleedがいかに注意を要する拡散的な脆弱性であるかを痛感したようだ。

　米CloudFlareはHeartbleedの存在が公表されたときには既に、事前に入手していた情報に基づきOpenSSLに修正パッチを適用していた。その後、同社はブログにおいて、「Heartbleedのせいで、秘密鍵データが簡単に暴露されていたも同然だった」とする見方に否定的な立場を示し、「特にnginxサーバの場合、その可能性は低い」と指摘した。

　「当社にあるソフトウェアで徹底的にテストしたが、脆弱なサーバ上のHeartbleedを使って秘密鍵データを引き出すことにはまだ成功していない」と、CloudFlareのニック・サリバン氏は説明した。

　この実験結果を検証すべく、CloudFlareは脆弱なOpenSSLを実行するnginxサーバを用意し、このサーバから秘密鍵を盗めるかどうか、セキュリティコミュニティーに向けて挑戦を呼び掛けた。開始から約9時間後、ロシア在住のソフトウェアエンジニア、フェドル・インダトニー氏が最初に秘密鍵の取得に成功し、その後すぐにフィンランドのNCSC-FI（ナショナルサイバーセキュリティセンター）の情報セキュリティアドバイザー、イルッカ・マッティラ氏も成功した。インダトニー氏はHeartbeat要求を250万回も送信した上での成功だったが、マッティラ氏は10万回と比較的少ない回数で秘密鍵を手に入れることができた。

　インダトニー氏はその後、自身のブログでHeartbleedバグを悪用した抽出スクリプト（エクスプロイト）を公開し、「すぐに結果を生むものではない」と述べている。エクスプロイトは性質上、時間のかかる手法だが、CloudFlareはその後、この呼び掛けの結果を踏まえ、顧客に代わって管理しているSSL秘密鍵を交換する措置を取ったという。

　「この結果を受け、当社としては全ユーザーに秘密鍵の再発行と無効化を勧める」と、CloudFlareは述べている。

　一方で、米Akamai Technologiesは4月13日、顧客をHeartbleedから守る目的で公開した修正パッチを取り下げた。

　Akamaiはその前の週にHeartbleedの存在を知り、SSL鍵の漏えいを防ぐためのメモリ割り当てツールをリリースしていた。だが同社の最高セキュリティ責任者アンディ・エリス氏は13日夜にブログでコメントし、セキュリティ研究者のウィレム・ピンカーズ氏から連絡があり、Heartbleed向け修正プログラムのバグを指摘されたことを明らかにした。

　「これを受け、われわれは全顧客のSSL鍵と証明書のローテーション作業を開始した。すぐにローテーションできる証明書もあれば、認証局の追加の妥当性検査を必要とし、時間が長くかかるものもある」と、エリス氏は説明している。