本人確認企業、1年超ライブ流出──1.5億件超の免許証
原題: Hackers Had a Live Feed of Every ID Verification Company Scanned for over a Year
なぜ重要か
年齢・本人確認を義務付ける法規制が世界的に拡大する中、確認基盤そのものの脆弱性が大規模かつ長期にわたって放置されていた事実は、業界の信頼性と規制設計の根幹に関わる問題を提起する。
米国のID確認企業IDScan.netが1年以上にわたり、スキャンした運転免許証の画像をリアルタイムでダークウェブに流出させていたことが明らかになった。流出件数は米国・カナダ合計で1億5,300万件超に上り、発覚当日だけでも新たに40万件が追加された。FBIニューオーリンズ支局が正式調査を開始した。
セキュリティジャーナリストBrian Krebsの報道によると、ダークウェブ上に今週開設された新たな個人情報販売サービスが、米国・カナダの運転免許証スキャン画像1億5,300万件超を販売している。画像の出所として特定されたのは、ルイジアナ州を拠点とするID確認企業IDScan.netだ。
IDScan.netはHertz（レンタカー）、FedEx、Targetなど大手企業のほか、数千の大麻販売店（ディスペンサリー）ともサービス契約を結んでいる。Krebsはデータベースに含まれる複数の人物に取材し、IDが追加された日付と当人の行動記録を照合することで流出源を特定した。
同社は年齢確認（Age Verification）分野でも積極的に事業を展開しており、各州の年齢確認法の動向を追うページを運営し、子どものオンライン安全法（KOSA）など関連法規を支持するコンテンツも公開していた。また「Trust Center」と題したセキュリティ説明ページを維持し、データ保護の徹底をうたっていた。しかし実態は、スキャンしたIDのほぼ全件がリアルタイムで外部に流れ続けていた状態だった。
FBIニューオーリンズ支局は流出源の特定に向けた正式調査を開始した。サイトは発覚後に閉鎖されたが、閉鎖直前まで新たな記録が追加され続けていた。Techdirtは「年齢確認は必然的に本人確認となり、プライバシー侵害リスクを内包する」と従来から指摘してきた立場から、今回の事件はその懸念が現実となったものだと報じている。