IDScanが個人情報流出を巡り4件の集団訴訟に直面

ニューオーリンズを拠点とするIDScan.netに対し、米ルイジアナ州東部地区連邦地方裁判所において少なくとも4件のクラスアクション(集団訴訟)候補が提起されています。

原告はカリフォルニア州、フロリダ州、ジョージア州、ルイジアナ州の住民で、自分たちが利用した事業者がIDScanの本人確認技術を使用していたにもかかわらず、個人情報の保護を怠ったと主張しています。

これらの訴訟は、サイバーセキュリティジャーナリストのBrian Krebs氏による9月1日の報道を受けたものです。この報道では、Nexusというダークウェブ上のサービスが取り上げられました。運営者らは、1億5,300万件を超える米国およびカナダの運転免許証の記録に加え、1,000万件を超える身分証明書、300万件を超える渡航書類・国際的な身分証明書、そして少なくとも57万9,000件の医療カードを保有していると主張していました。ただし、これらの件数についてはIDScanも政府機関もまだ検証していません。

Krebs氏は自身の免許証データを発見したほか、同意を得た十数人以上の友人・親族の記録も検索しました。9件が一致し、そのタイムスタンプや取引履歴からIDScanと関連のある事業者を指し示す結果となりましたが、同社は自社システムが情報流出元であるとは確認していません。

IDScanは、事業者が政府発行の身分証明書をスキャン・認証し、そこから情報を抽出するためのツールを提供しています。同社の技術は、レンタカー、小売、金融サービス、宿泊業、大麻関連事業など幅広い業界で利用されています。

今回の事案は、事業者が本人確認書類を第三者の確認サービス事業者に送ることに伴うリスクを浮き彫りにしています。消費者は自分の情報を誰が処理・保管しているかを把握できないことが多く、1社のベンダーで発生したインシデントが、まったく無関係な多数の事業者から収集された記録を一度に危険にさらす可能性があるのです。

FBIが捜査に着手、被害範囲は依然不明

Krebs氏によると、FBIニューオーリンズ支局はIDScanが関与したとみられる情報流出事案について捜査を開始しており、同局関係者もこれを認めています。ただし、FBIは調査結果を公には明らかにしていません。

IDScanは自社のシステムが侵害されたことを公式には認めておらず、影響を受けた可能性のある人数についても明らかにしていません。法律事務所のMarkovits, Stock & DeMarcoによれば、報道内容から判断する限り、IDScanは9月1日前後から少なくとも一部の法人顧客への通知を開始していたとみられます。IDScanは通知の対象範囲や通知先について公式には詳細を明らかにしていません。

Nexusのマーケットプレイスはその後姿を消しましたが、だからといってデータ自体が消滅したとは限りません。サイバー犯罪者がコピーを保持していたり、情報を非公開の形で流通させたりする可能性もあります。報道によれば、Nexusの記録の一部には通常光・赤外線・紫外線それぞれで撮影された免許証の表裏画像が含まれていたとされますが、Krebs氏はすべての記録に画像が含まれていたわけではないと指摘しています。これは重要なポイントです。というのも、そうしたファイルには単なる免許証番号よりもはるかに多くの識別情報が含まれ得るからです。

捜査継続中に消費者ができること

公式な照会ツールや検証済みの被害者一覧が存在しないため、消費者は現時点で自分の情報がNexusに保有されていたかどうかを確認することができません。しかし、本人確認書類をスキャンされた経験がある人は、いくつかの予防策を講じることができます。

• 過去の取引履歴を確認: レンタカーのチェックイン、荷物の受け取り、小売店での年齢確認、大麻ディスペンサリーの利用など、身分証明書の実物がスキャンまたはセルフィーと一緒にアップロードされた場面を洗い出す。
• 事業者へ直接問い合わせる: その事業者がIDScan.net、VeriScan、DIVEのいずれかを利用していたかを書面で確認し、身分証明書の画像全体または抽出済みの項目情報が保存されているかどうかを尋ねる。
• 機微な情報の取り扱いに注意: ベンダーの取り扱い方針について問い合わせる際、加工していない本人確認書類の画像や社会保障番号を一般のメールで送信しない。
• 不審な動きを監視・記録する: 信用情報レポートや金融口座を確認し、不正な照会・口座開設・不審なメッセージがあれば記録を残しておく。こうした記録は、不正利用の異議申し立てや本人確認被害の届け出の際に役立ちます。
• 信用情報の凍結を検討: Equifax、Experian、TransUnionへの無料の信用情報凍結申請を検討し、犯罪者が自分名義で新規口座を開設するのを防ぐ。

IDScanまたは捜査当局が検証済みの被害者数や通知プロセスを公表するまでは、消費者は自分の書類が今回の件に関わっていたかどうかを確実に知る手立てがないかもしれません。事業者にとって今回の事案は、本人確認まわりのセキュリティの死角が第三者ベンダーにまで及び得ることを改めて示すものです。各組織は、本人確認サービスのベンダーがどのような情報をどれだけの期間保存しているのか、そして機微なデータが自社の直接管理下を離れた際に何が起こり得るのかを точно検証しておく必要があります。

関連記事: ダークウェブ上のサービスが1億5,300万件を超える運転免許証の記録を宣伝したことをきっかけに始まったFBIの捜査の経緯と、研究者たちが突き止めたその情報源の可能性について詳しくはこちらをご覧ください。