運転免許証1.5億枚がダークウェブで販売、本人確認ベンダーが標的に

数時間で売りに出された「自分の免許証」 #

Ars Technicaの上級セキュリティ編集者、ダン・グッディン氏はレンタカーを借りたわずか数時間後、自分の運転免許証のスキャン画像がダークウェブ上で売りに出されているのを発見した。出品していたのは「Nexus」と呼ばれる個人情報窃盗サービス。米国とカナダの運転免許証、実に1億5300万枚以上のデジタルスキャンを扱っているとみられる。氏名や生年月日だけでなく、顔写真付きの証明書画像そのものが流通している点が深刻だ。

狙われたのは「本人確認」を代行するベンダー #

流出元として疑われているのは、企業に代わって年齢確認や本人確認を行うルイジアナ州の身分証確認サービス企業だ。レンタカーやオンラインサービスの多くは、自社で身分証を保管せず外部のKYC(本人確認)ベンダーにスキャン処理を委託する。便利な仕組みだが、裏を返せば大量の実物証明書画像が一箇所に集約される「金庫」ができるということでもある。攻撃者にとっては、個別のサービスを一つずつ狙うより、この集約点を突く方がはるかに効率的だ。近年のサプライチェーン攻撃と同じ構図がここにもあり、Nexusのような闇市場は流出データを継続的に転売する「サブスクリプション型」の商売として定着しつつあるとも報じられている。

日本のサービスも他人事ではない #

マイナンバーカードや運転免許証のアップロードを求める本人確認フローは日本でも急速に増えている。利用者側でできる備えは限られるが、不要な場面での身分証提出を避ける・提出先のベンダー名まで確認する・信用情報のモニタリングを習慣化することは有効だ。事業者側も、委託先のKYCベンダーが証明書画像をどれだけの期間・どんな形で保持しているかを契約時に精査すべきだろう。「確認さえできればよい」で選んだ委託先が、次の大規模流出の火元になりかねない。