Nexusと呼ばれる新たなダークウェブプラットフォームは、1億5300万件の運転免許証のスキャン画像と、その他数百万件の身分証明書や医療カードの画像を販売していると主張した。
報道によると、押収された書類には、1億5300万枚以上の運転免許証、1000万枚の身分証明書、300万枚の旅行書類、そしてマリファナ販売店のカードを含む57万9000枚の医療カードが含まれていた。
KrebsOnSecurityが報じた大量の運転免許証スキャン画像は、本人確認が単なる形式的な手続きではないことを改めて痛感させるものだ。
FBIのニューオーリンズ支局は、本人確認サービスを提供するIDScan.netに関わる情報漏洩の疑いについて捜査を開始した。同社は調査中であると発表した。
IDScan.netは以下のように宣伝している。
「当社は、顧客の年齢を含む身分証明書を数秒で検証することで、薬局が法的責任を軽減し、営業許可を保護できるよう、シンプルで安全なソリューションを提供します。」
流出したとされる記録の中には、身分証明書の基本的な写真以上のものが含まれていたため、特に懸念された。KrebsOnSecurityは、表裏両面の画像に加え、赤外線や紫外線のスキャン画像を含む記録を発見した。これらの記録には、所有者の旅行やレンタカーの利用状況と一致すると思われるタイムスタンプが付いていた。
運転免許証はパスワードよりも身元窃盗犯にとって遥かに有用なので、これは重要な問題です。パスワードはリセットできますが、顔写真、生年月日、住所、免許証番号などは簡単には変更できません。特に、それらが政府発行の身分証明書の高解像度画像と結びついている場合はなおさらです。
年齢確認の問題
年齢確認は、身分証明書のアップロード、自撮り写真の撮影、またはその両方を第三者の本人確認業者に提出するよう求める際の一般的な正当化理由となっている。
私たちは以前から、年齢確認システム、特に政府発行の身分証明書のコピー提出を求めるシステムにおけるプライバシーとセキュリティのトレードオフについて警告してきました。このようなシステムは、ウェブサイトへのアクセス要求を、ユーザーがこれまで聞いたこともないような企業と永続的な身分証明書を共有するという決断に変えてしまう可能性があります。
私たちの見解では、それは過剰なリスクです。ユーザーがIDをアップロードすると、サービス提供者またはそのベンダーは、そのアクセスをユーザーの身元情報と紐付けることができる可能性があります。プロバイダーが侵害された場合、その影響は迷惑メールやメールアドレスの漏洩にとどまらず、はるかに広範囲に及ぶ可能性があります。
報告されたNexusのデータセットは、より広範な懸念を示している。 Identity 文書は、人々が互いに繋がりを持たないような多くの場所に収集されている。個々の収集は一見すると日常的なものに見えるかもしれないが、それらが集まることで、組織、請負業者、ソフトウェアプラットフォーム、クラウドサービス、プライバシーポリシーなどからなる、絶えず拡大し続けるエコシステムが形成される。
顔写真や身分証明書のコピーは再利用される可能性があります。犯罪者はこれらを利用して詐欺をより巧妙にしたり、不十分な本人確認をすり抜けたり、別の情報漏洩で入手した記録から詳細な被害者プロファイルを作成したりする可能性があります。攻撃者はあなたの名前、住所、生年月日、メールアドレス、運転免許証の詳細を知っていれば、詐欺行為を行うための強力な基盤を手に入れることになります。
だからこそ、「年齢確認のみが必要です」という言葉は、自動的に「運転免許証やその他の身分証明書をアップロードしてください」という意味であってはならないのです。
安全に過ごすには
オンラインサービスを利用する際に本人確認が求められる場合、基本的な質問をしてみましょう。「なぜこの会社は私の身分証明書のコピーを必要とするのか、そしてその後、そのコピーはどうなるのか？」Nexusを通じて提供されるとされるデータの規模を見れば、この質問への回答がなぜ重要なのかが分かります。
消費者は、特に法律で義務付けられている場合や規制対象サービスに必要な場合、身分証明書の提示を常に拒否できるとは限りません。しかし、不必要なリスクを軽減することは可能です。
- 身分証明書の画像が保存されているかどうか、保存されている場合はどのくらいの期間保存されているかを尋ねてください。
- その会社が第三者の本人確認サービスプロバイダーを利用しているかどうかを確認してください。
- 本人確認書類のアップロードを義務付けるのではなく、プライバシーを保護する年齢確認機能を提供するサービスを優先しましょう。
- 信頼できないサイトや、利用するつもりのなかったサイトには、身分証明書類を提出しないでください。
- 他に安全な方法がなく、かつ受信者の身元を独自に確認した場合を除き、身分証明書のコピーをメールで送信しないでください。
- 個人情報が漏洩した可能性があると思われる場合は、フィッシング詐欺、アカウント復旧詐欺、不正なクレジットカード申請に注意してください。
- 可能であれば、信用情報凍結を検討してください。
正直なところ、シークレットウィンドウには限界があります。
情報漏洩、ダークウェブでの取引、クレジットカード詐欺。Malwarebytes Identity Theft これらすべてを監視し、迅速に警告を発し、さらに個人情報盗難保険も付帯しています。
