トロント・クライムストッパーズで情報流出、匿名通報が露出

犯罪の目撃者に匿名性を保証するはずのシステムで、深刻な情報漏えいが発生しました。カナダの非営利団体トロント・クライムストッパーズ(Toronto Crime Stoppers)は10月21日、プラットフォームの大規模な侵害を受けて業務を停止しました。侵害されたのは、ベンダーのNavigate360が運用するサードパーティ製の通報受付ソフトウェア「P3」です。その結果、攻撃者は機密性の高い通報176,859件を入手し、情報提供者の身元が危険にさらされています。

未加工の通報データが流出、情報提供者の安全に脅威

トロント・クライムストッパーズは2018年からP3基盤を継続的に利用してきました。しかし攻撃者は2026年3月、盗み出した顧客の認証情報を使って不正アクセスしました。当局の確認によると、流出したアーカイブには2022年1月から2025年11月までに寄せられた通報が含まれています。さらに、初期のフォレンジック調査では、盗まれたデータの中に14,973人分の市民の氏名が確認されました。

同団体は個人の身元の申告を一切求めていません。しかし、情報提供者が犯罪の説明の中に、本人を特定できる文脈を書き込むことは少なくありません。通常は、職員が機微な識別情報を削除したうえで、報告を捜査当局に引き渡します。ところが今回の侵害では、編集前の生の通報内容が、侵入者にそのまま渡ってしまいました。このため、流出データには氏名や住所のほか、目撃者の特定につながりかねない固有の詳細情報が含まれています。

ベンダーの対応に不備、遅れが重なる

Navigate360は3月の時点では、システムの安全性について安心させるような説明を続けていました。4月には、侵入の影響がトロントのデータに及んだことを明確に否定しています。しかし同社がトロントでの情報露出をようやく認めたのは、6月9日でした。盗まれた記録の全容が明らかになったのは、7月になってからです。その結果、同団体は侵害されたシステムとは知らないまま、7か月にわたって新たな機密通報を受け付け続けていました。

トロント・クライムストッパーズは正式に法的な要請を行いましたが、盗まれた実際のテキストファイルはNavigate360から提供されませんでした。さらに同社は、リストにある氏名が情報提供者、容疑者、居合わせただけの第三者のいずれのものなのかについても、明らかにしていません。

全国的な注目を受け、サービスを全面停止

最終的に経営陣に業務停止を迫ったのは、CBCによる公開調査でした。記者らはカナダ全土の過去の通報150万件以上を精査し、約半数に身元を特定できる情報が含まれていることを突き止めました。

これを受けて運営側は、トロント・クライムストッパーズの公式通報ポータルにある投稿フォームを停止しました。同時に、電話での受け付けとモバイルアプリの窓口も打ち切っています。トロント警察もプラットフォームの利用を直ちに中止しました。一方、同団体は設計を見直した新しいアーキテクチャを構築中で、独立したセキュリティ監査を受けてからサービスを再開するとしています。