少なくとも4件の集団訴訟が、ルイジアナ州ニューオーリンズに拠点を置くIDScan.netを相手取り、米国ルイジアナ東地区連邦地方裁判所に提起された。
原告はカリフォルニア州、フロリダ州、ジョージア州、ルイジアナ州の住民で、利用した企業がIDScanの本人確認技術を使い、個人情報を保護しなかったと主張している。
訴訟は9月1日、サイバーセキュリティジャーナリストのBrian Krebsによる報道を受けて提起された。Krebsが報じたのは、Nexusというダークウェブサービスについてだった。同サービスの運営者は、米国とカナダの運転免許証記録を1億5300万件以上、さらに身分証明カードを1000万枚以上、旅行書類または国際IDを300万件以上、医療カードを少なくとも57万9000枚保有していると主張した。IDScanも政府機関も、これらの数字を確認していない。
Krebsは自分の免許証を見つけ、同意を得た友人や親族十数人以上の記録を検索した。9件の一致についてタイムスタンプと取引履歴を調べたところ、IDScanに関連する企業を示していたが、同社は自社システムが情報源だったとは確認していない。
IDScanは、企業が政府発行の身分証明書類をスキャンし、認証し、情報を抽出するためのツールを提供している。同社の技術は、レンタカー、小売、金融サービス、ホスピタリティー、カンナビスなどの分野で利用されている。
このインシデントは、企業が本人確認書類を第三者の認証プロバイダーに送ることで生じるリスクを浮き彫りにしている。消費者は、自分の情報を誰が処理・保管しているのか把握できない可能性があり、1社のベンダーで起きたインシデントによって、互いに無関係な多数の企業が収集した記録が流出する恐れもある。
全容が不明ななかFBIが捜査
Krebsによると、FBIニューオーリンズ支局は、IDScanが関与したとみられる侵害について捜査を開始した。Krebsは、同局の当局者が捜査を確認したと述べている。FBIは捜査結果を公表していない。
IDScanは、システムが侵害されたことを公に確認しておらず、影響を受けた可能性のある人数も明らかにしていない。法律事務所Markovits, Stock & DeMarcoは、公開報道によれば、IDScanが9月1日ごろから少なくとも一部の法人顧客への通知を始めたと述べた。IDScanは、通知の範囲や送付先を公に詳しく説明していない。
Nexusのマーケットプレイスはその後消滅したが、それは必ずしもデータ自体がなくなったことを意味しない。サイバー犯罪者がコピーを保持したり、情報を非公開で拡散したりしている可能性がある。報道によれば、Nexusの一部の記録には、通常光、赤外線、紫外線形式で撮影された身分証の表面・裏面のスキャンが含まれていた。ただしKrebsは、すべての記録に画像が含まれていたわけではないと指摘している。単なる免許証番号よりも、こうしたファイルにははるかに多くの本人特定情報が含まれ得るため、これは重要だ。
捜査が続く間に消費者ができること
公式の照会ツールや検証済みの侵害情報ディレクトリーは存在しないため、Nexusが自分の記録を保有していたかどうかを消費者が確認することは、現時点ではできない。ただし、身分証明書類をスキャンされたことがある人は、いくつかの対策を講じられる：
- 過去の取引を確認する：実物のカードをスキャンまたは自撮り写真とともにアップロードしたレンタカーの受付、荷物の受け取り、小売店での年齢確認、薬局への訪問などを特定する。
- 加盟店に直接問い合わせる：その企業がIDScan.net、VeriScan、DIVEのいずれかを利用していたか、また書類全体の画像や抽出された項目を保管していたかを、書面で問い合わせる。
- 機密情報を守る：ベンダーの運用について問い合わせる際、加工していない身分証のスキャン画像や社会保障番号を通常のメールで送らない。
- 不審な活動を監視し記録する：信用情報や金融口座を確認し、身に覚えのない照会、口座、メッセージを記録しておく。こうした記録は、詐欺に異議を申し立てたり、個人情報盗難の届け出をしたりする際に役立つ可能性がある。
- 信用情報を凍結する：Equifax、Experian、TransUnionで無料の信用情報凍結を設定し、犯罪者が自分の名義で新たな口座を開設するのを防ぐことを検討する。
IDScanまたは捜査当局が、被害者数と通知手続きについて検証済みの情報を公表するまで、消費者には自分の書類が関与していたかどうかを確定する方法がない可能性がある。企業にとって、このインシデントは、本人確認における盲点が第三者プロバイダーにまで及び得ることを改めて示すものだ。組織は、本人確認ベンダーが何を保管し、どのくらいの期間保管するのか、また機密データが自社の直接管理下から離れた後に何が起きるのかを調べるべきだ。
詳しく読む：ダークウェブサービスが1億5300万件以上の運転免許証記録を掲載した後に始まったFBIの捜査の経緯と、研究者がその出所の可能性について明らかにしたこと。