米国とカナダの運転免許証や旅行書類が、闇市場向けの新しいサービスで大量に売られていた――そんな話を起点に、この記事は「個人情報の流出」を単なるサイバー犯罪で終わらせず、安全保障の問題として捉え直している。Krebs on Security が最初に報じた内容を受けて、Lawfare の Tom Uren は、こうしたデータが詐欺の材料になるだけでなく、諜報活動の燃料にもなると論じる。しかも今回のケースは規模が大きい。単発の漏えいではなく、1年以上にわたって継続的に吸い上げられていた疑いがあり、政府高官の免許証まで含まれていたという点が、話を一段重くしている。
記事がまず伝えているのは、闇サイト上に「Nexus」と名乗る新しいサービスが現れ、身分証や旅行書類へのアクセスを売っていたという事実だ。Krebs on Security によると、そのデータベースには 300万件の旅行書類と、米国およびカナダ市民の運転免許証 1億5300万件が含まれていた。Nexus は、ある大手の identity verification company に不正侵入し、1年以上にわたって新しいデータを「継続的に」抜き出していたと主張していた。
Krebs は、データベースに入っていた免許証が実物として通用する本物だと確認した。自分の免許証だけでなく、友人や家族 9 人分の免許証も見つかったという。さらに、Pete Hegseth と呼ばれる「Secretary of War」、FBI の assistant director、ほか米政府の高官の免許証も含まれていた。Krebs は状況証拠をもとに、IDScan という身元確認サービスとの関係を指摘している。IDScan のサイトは、ID が本物か、提示している人が正当な所有者かを確かめ、偽造書類を見抜くことで fraud を減らすと説明している。FBI はこの件を調べており、IDScan も侵害の調査を進めていると認めた。Krebs の報道の直後に Nexus のサイトはダークウェブから消えたが、攻撃者がデータを削除したと主張しているわけではない。目立たなくなるまで身を潜めているだけだろう、と記事は見る。
Uren が強調するのは、免許証や身分証が identity theft や phishing に使えるという当たり前の話だけではない、という点だ。こうした記録は、住所や写真つきで個人に直結しているうえ、他のデータベースとつなぎやすい。だから諜報機関にとっても価値がある。2010年代半ばには、中国の cyber espionage actors が Anthem、Equifax、Marriott、United Airlines、そして Office of Personnel Management から security clearance 情報まで盗み、米国の諜報活動の分析に役立つ補完データを集めていたと記事は振り返る。さらに、Bellingcat の調査では、2022年にハッキングされた旅行データが GRU の潜伏工作員の特定に役立ち、2018年には Skripal 暗殺未遂事件の容疑者特定にも、流出データが大きな手がかりになった。
だからこそ、今回の IDScan の漏えいは、単なる企業事故では済まない。データベースに入っていた米国の免許証は、国全体の総数のおよそ63％に相当するとされる。しかも identity verification company は似た事故を起こしがちだ。過去2年だけでも AU10TIX、Discord の年齢確認サービス提供先の 5CA、National Public Data で侵害が起きている。Uren は、こうした事業者は大量のセンシティブデータを扱う以上、厳しい regulation と oversight の対象であるべきだと言う。ただし、政府がすぐ動く見込みは薄いとも書く。短期的には、巨額の損害賠償や FTC の関与が、企業に防御強化を促すしかないのではないか、という見立てだ。
この話でいちばん怖いのは、漏れたものがクレジットカード番号でもパスワードでもなく、「本人確認そのもの」だという点だと思う。免許証は、オンラインで何かを始めるときの裏口を開ける鍵のような役割を持つ。住所、顔写真、番号がそろえば、他のデータとつなげるのは難しくない。詐欺師にとっては、アカウント乗っ取りの補助線になるし、国家にとっては個人追跡の足場になる。要するに、1枚で終わらず、別の情報群の接着剤になる。
しかも今回は、identity verification を売りにする会社が標的になった。ここが厄介だ。本人確認サービスは「セキュリティを高めるための装置」として導入されるのに、その会社が突破されると、守る側の土台がそのまま攻撃者の収穫源になる。これは制度設計の皮肉でもある。身分証の提示を求める場面が増えるほど、そこに集まるデータは一箇所に濃縮される。だから漏えい時の被害が大きい。便利さと集中リスクが、同じ場所で膨らんでいる。
記事は中国をかなり前面に出しているが、私はここを一国の脅威論だけで片づけると本質を外すと思う。中国の諜報機関がこうしたデータを活用する、という指摘は十分あり得るし、過去の事例からも筋が通っている。ただ、流出データが誰の手に渡るかは、国名で完全には決まらない。犯罪者、仲介業者、別の国家、いずれにも再利用されうる。だから問題は「中国が使うかどうか」より、「使える形で大量に残ってしまうこと」だ。
ここで重要なのは、個人情報の価値が時間差で増えることだと思う。漏えい直後は詐欺に使われ、その後は諜報や分析に回る。別の漏えいと結びついた瞬間、価値が跳ねる。Bellingcat の例が示すように、過去のデータは後から照合して意味を持つ。つまり、今回の件は今すぐ何人かが被害に遭って終わりではない。何年か後に別の事件の脇役として再登場する可能性がある。そこが、普通の「情報漏えい」よりずっと厄介だ。
Uren は政府の迅速な対応に悲観的だが、その見方はかなり現実的だと思う。重要なのは、規制を作るかどうかより、作られるまでの空白期間に何が起きるかだ。identity verification 企業は「社会インフラ」のようにふるまう一方で、運用は民間任せになりやすい。しかも顧客は、銀行、配車、SNS、年齢確認、採用など広い。どこか一社が破られると、影響範囲が一気に広がるのに、監督の仕組みは分断されている。
だから、ここで効いてくるのは法執行よりも損失の重さだろう。集団訴訟のような法的圧力や、FTC の調査があれば、少なくとも「安く雑にやっても回る」状態にはブレーキがかかるかもしれない。もちろん、それで十分ではない。だが、現実に動く可能性があるのはそこだ。安全保障の話として語ると国家間競争に吸い込まれやすいが、実際には、まず企業がどこまで本気で守るかが問われている。
後半で触れられる米軍の話も示唆的だ。Reuters は、商用の位置情報データが中東での米軍人追跡に使われていると報じた。これを受けて、米軍は軍所有端末の advertising identifiers を無効化する方向に動いた。Air Force は Windows と Android で 7月下旬に無効化し、Apple 端末ではすでに無効だったと説明した。Army は Android と Apple 端末で 2月に既定で無効化したと Reuters に答え、U.S. Special Operations Command は Windows 端末で「最近」無効化したという。
でも、ここでも私は「やっとか」という感想を持つ。広告IDは、追跡を少し面倒にするだけで、完全に消すわけではない。しかも兵士は私物端末も使う。仕事用端末だけ固めても、生活圏から漏れる情報までは止められない。2016年には軍が商用位置情報の危険性について説明を受けていたのに、実装がここまで遅れたのは重い。問題は技術の有無ではなく、運用が全体として追いついていないことだと思う。免許証の漏えいも広告IDの話も、結局は「集めたデータをどう守るか」を本気で考えていなかった代償としてつながっている。
参考: America's Driver's License Breach Is a National Security Disaster
