運転免許証情報をめぐる大規模な情報漏洩の可能性が先週報じられたことを受け、法律事務所各社が動き出しています。
米国ルイジアナ州東部地区連邦地方裁判所には、今回の疑惑の中心となっているIDScan.net社を相手取り、少なくとも4件のクラスアクション訴訟が提起されています。
原告側は損害賠償を求めるとともに、ID検証・不正防止サービスを提供する同社に対し、社内のセキュリティ体制の改善を求めています。
FBIは先週、この事案について捜査を進めていると発表しました。この問題は、ジャーナリストのブライアン・クレブス氏が最初に報じたものです。
Hall Attorneys、およびMarkovits, Stock & DeMarcoという少なくとも2つの大手法律事務所も、被害の可能性がある人々からの申し立てについて現在調査を進めています。
標的にされたドライバーたち
ロシアのサイバー犯罪フォーラムで「Nexus」と名付けられたサービスが、主に米国およびカナダのドライバーのものとみられる1億5,300万件以上の運転免許証情報に加え、1,000万件以上のIDカード、渡航書類、医療カードなどのデータを保有していると主張していました。
Nexusはクレブス氏の投稿公開後まもなく閉鎖されましたが、同氏は自身および特定された他の被害者の行動履歴を追跡し、そのデータをニューオーリンズに拠点を置くIDScan.net社に結びつけました。
同社は、レンタカー大手のHertz、FedEx、そして全米数百カ所の大麻ディスペンサリーを含む、幅広い大手企業向けにBtoBのID検証サービスを提供しています。
Black Hills Information Securityのオーナーであるジョン・ストランド氏は、次のように述べています。「データブローカーと、彼らが長期にわたって収集・購入・取得・集約・保管している情報量の膨大さに目を向けると、それは実に驚異的です。そして今回の漏洩事案も、それ自体が驚くべき規模のものと言えるでしょう」
「私は、この種のデータについても、保護対象保健情報(PHI)に準じるような保護措置を講じ始めるべきだと考えています。その一部をHIPAAに準じた保護の対象とするか、あるいは大規模な個人データの集積を同様に重く扱う規制の枠組みを新たに設けることが必要かもしれません」
Hall Attorneysは、自身のデータが今回の漏洩に関与している可能性があると考える人々に対し、以下の対応を呼びかけています。
- 自分のIDがスキャンまたはアップロードされた企業名、場所、おおよその日付、理由を特定する
- 当該企業がIDScan.net、VeriScan、DIVE、あるいは他のID検証プロバイダーを利用していたかどうかを確認する
- 表裏両面の画像、赤外線・紫外線による撮影データ、自撮り写真、あるいは解析されたID項目情報が保持されているか、また自分の記録が今回の事案調査の対象に含まれているかを確認する
- 問い合わせ内容とその回答を保管しておく。最初の問い合わせの際に、加工していないID画像や社会保障番号、アカウントのパスワードを送付しない
- 心当たりのない漏洩確認用リンクは不審なものとして扱う
IDScan.net側は、この事案について調査中であると述べたと報じられています。
翻訳元: https://www.infosecurity-magazine.com/news/multiple-class-action-lawsuits/
