世界に晒された膨大な個人情報の山
今週、北米のドライバーたちに衝撃が走りました。1億5,300万件にのぼる運転免許証のデジタルスキャン画像がダークウェブで販売されていたことが明らかになったのです。被害者にはアメリカのピート・ヘグセス国防長官や、調査報道記者のブライアン・クレブス氏も含まれていました。クレブス氏は自身のブログKrebsOnSecurityでこの情報漏洩を詳しく調査しています。
KrebsOnSecurityによると、この運転免許証データはロシアのサイバー犯罪フォーラム「Exploit」の利用者によって販売に出されていました。この利用者は1億5,300万件の運転免許証に加え、1,000万件以上の身分証明書、300万件以上の渡航文書・国際身分証明書、さらに少なくとも579,000件の医療カードのデータを、Nexusというサイトを通じて提供していました。同サイトは現在閉鎖されていますが、こうした入手済みのデータは当然ながら別のサイトに再び出現する可能性があります。
KrebsOnSecurityはこの漏洩の出所を、レンタカー会社Hertzが利用する本人確認サービス「IDscan.net」であると特定しました。IDscanは、Target、FedEx、Motorola Solutions、大手金融サービス企業Jack Henry、Caesars Entertainmentなど、多くの顧客を抱える企業です。
IDscanはこの漏洩について今のところ公式声明を出していませんが、IDscan.netのマーケティング・オペレーション責任者であるジリアン・コスマン氏はKrebsOnSecurityに対し、「これ以上の追加情報を共有することはできませんが、皆さんから寄せられた最新情報は大変ありがたく、私たちのチームの調査に役立っています」と述べています。この漏洩をめぐる調査は勢いを増しており、FBIが画像の出所について正式な捜査に乗り出しています。
しかし、今回の漏洩は、企業による本人確認システム利用の核心に潜む脆弱性を浮き彫りにしました。自社のITシステムやプロセスがどれほど堅牢であっても、企業はサプライヤーのセキュリティにも依存せざるを得ないという現実です。
