FBIは、北米の最大1億7,000万人分の個人データが流出した可能性がある大規模な情報漏洩事件について捜査を進めていると報じられています。
調査報道記者のブライアン・クレブス氏が最初に明らかにしたところによると、「Nexus」と呼ばれるサービスは、ロシア語圏のサイバー犯罪フォーラム「Exploit」の利用者に対し、身分証明書のデジタルスキャン画像へのアクセスを提供していたということです。
同サービスは、主に米国とカナダの運転者の運転免許証データを1億5,300万件以上保有していると主張していたほか、IDカード、渡航書類、医療カードなども取り扱っていたとされています。
Nexusの運営者らは、このデータの束は「大手身分証明照合企業」で現在進行中の情報漏洩事件から流出したものだと主張していたと報じられています。
関連記事: 米国の情報漏洩件数が過去最多を記録、一方で被害者数は減少
Nexusのサービスはクレブス氏が記事を公開した直後に閉鎖されましたが、同氏は自身や他の特定された被害者の動向を追跡し、このデータをニューオーリンズを拠点とする身分証明照合プロバイダーのIDScan.netに結びつけることに成功しました。
同社は現在この件について調査を進めていると述べています。
影響の把握
BreachLockの創業者兼CEOであるシーマント・セガール氏は、この事件が広範囲に及ぶ深刻な影響をもたらす可能性があると指摘しています。
「運転免許証には所有者の生年月日、住所、身体的特徴、そして政府発行のID番号が記載されています。これは、多くの金融機関や政府機関が今なお信頼できるとみなしている本人確認手続きを突破するのに十分な情報です」と同氏は説明しています。
「より厄介な問題は、漏洩したパスワードとは異なり、これらの項目は一切変更できないということです。つまり、このデータセットに含まれるすべての人が、この漏洩リスクを一生背負い続けることになります。今回の件が軽視されずに扱われているのは良いことですが、本人確認手続きの水準を引き上げるべき時期に来ているのかもしれません」
Suzu LabsのCTOであるデニス・カルデローネ氏は、身分証明照合ベンダーを利用する企業は、確認後にスキャンデータがどれだけの期間保持されるのか、契約上のデータ最小化義務があるのか、そしてこうした企業を監査できるのかといった、より厳しい質問を投げかける必要があると主張しています。
「現状では、クレジットの凍結措置に相当するような、漏洩した運転免許証番号にフラグを立てられる仕組みは存在しません」と同氏は付け加えています。
「政府発行の身分証明書を収集・一元管理するすべての組織は、こうしたデータの保管について、少なくともクレジットカードデータと同等、あるいはそれ以上のセキュリティ体制で臨む必要があります。クレジットカード番号は24時間あれば再発行できますが、顔は再発行できないのです」
翻訳元: https://www.infosecurity-magazine.com/news/fbi-probes-breach-153-million/
