個人情報が丸裸になった実例10選――データハーベスティングが招いた深刻な漏洩事故

Facebookをはじめとする企業による個人データの利用が相次いで問われている今も、ユーザーのプライバシーと企業の広告収益との対立関係は、ニュースの話題であり続けています。

しかしこれは最近始まった傾向ではありません。企業は成長と収益を追い求める過程で、長年にわたり個人情報を危険に晒してきました。ここでは、データハーベスティング(大規模な個人情報収集)によってあなたの情報が脅威にさらされた、注目すべき実例を10件紹介します。

1. LocalBlox、4,800万件のソーシャルアカウント情報を公開状態に

ソーシャルメディアのデータ集約サービスLocalBloxは、サイバーセキュリティ企業UpGuardが同社の管理下にある4,800万件のアカウントデータが誰でもアクセス可能な状態になっていたことを発見し、悪い意味で大きな話題となりました。

UpGuardは報告書の中で、「個人・法人向けデータ検索サービスLocalBloxに属する情報を含むクラウドストレージリポジトリが公開アクセス可能な状態に置かれ、複数のソースから収集・取得された数千万人分の詳細な個人情報4,800万件が露出していたことを確認した」と述べています。

漏洩したのはソーシャルメディア上の情報だけではありません。実名、住所、生年月日といったより踏み込んだ個人情報に加え、LinkedIn、Facebook、Twitterなど各種ネットワークから取得されたユーザーデータも含まれていました。

UpGuardが指摘するように、犯罪者はこうしたデータを、ソーシャルエンジニアリング型のフィッシング攻撃、社会的操作、なりすましなど、さまざまな詐欺行為に悪用します。

2. 米国の有権者1億9,800万人分のデータが流出

2017年、共和党全国委員会(RNC)が雇用したデータ企業が、米国の登録有権者約2億人分、ほぼ全員のデータを危険に晒しました。

問題を起こしたのはDeep Root Analyticsで、個人情報をもとに米国有権者のプロファイルを作成・提供していました。同社はTargetpoint ConsultingとDataTrustの2社と協力してデータを収集していました。

その結果、膨大な情報の集合体が生まれました。漏洩した情報には氏名、住所、電話番号が含まれ、さらに民族や宗教を予測する分析モデルのデータまで含まれていました。

この流出を受けて、Deep Root Analyticsには集団訴訟が提起されました。同社は防御策を講じていないクラウドサーバー上に、1.1テラバイトを超えるデータを放置していたのです。

3. スパム業者が14億ユーザーのデータを誤って公開

データ集約業は合法ですが、すべてのデータ収集者が法の枠内で活動しているわけではありません。巨大な違法スパム組織だったCity River Media(CRM)は、10億人を超えるユーザーのデータを偶然にも外部に露出させてしまいました。

この漏洩により、14億のメールアドレスに加えて、実名、IPアドレス、場合によっては実際の住所まで組み合わされた情報が流出しました。

原因は何だったのでしょうか? MacKeeperセキュリティ研究センター、CSOOnline、Spamhausの調査によれば、不適切に設定されたRsyncバックアップがデータを無防備な状態にしていたことが判明しています。

唯一の明るい材料は、正規のマーケティング会社を装っていたCRMが、1日10億通以上の自動メールを送信するスパム組織だったことが暴かれたことです。MacKeeperのChris Vickeryは、CRMのチャットログ、ドメイン登録記録、会計情報、インフラ計画、制作ノート、スクリプト、事業提携情報にアクセスし、これらの証拠を当局に提出しました。

ただし、同種の企業は今日でも次々と誕生しています。スパマーからメールアドレスを守るための予防策を講じておくことが重要です。

4. Grindr、ユーザーのHIV感染状況を第三者と共有

漏洩した個人情報のすべてが、セキュリティ上の欠陥や設定ミスによるものとは限りません。FacebookとCambridge Analyticaのケースで明らかになったように、サービスやアプリがユーザーから収集したデータを第三者に渡すケースもあるのです。

Aleksandr KoganによるCambridge Analyticaへのデータ提供はFacebookの利用規約違反でしたが、収集されたデータの膨大な量自体は、当時のFacebookのポリシーとAPIの範囲内で正当に取得されたものでした。

同様の構図はGrindrにもありました。ユーザーのHIV感染状況に第三者がアクセスできることが発覚した際、それがLGBT向けデーティングネットワークにとって「日常業務」だったことも同時に判明したのです。データにはGPS位置情報、端末ID、メールアドレスも含まれていました。

ユーザーはこれをプライバシーの重大な侵害と受け止めました。同社は、極めてセンシティブで通常は秘匿されるべき医療情報を、ApptimizeとLocalyticsという2社と共有していたのです。

Grindrは「データを売却したり漏洩させたりしたわけではなく、アプリの最適化のために共有した」と説明しました。それでも同社はその後、ユーザーのHIV感染状況を第三者と共有しない方針を発表することになります。

セキュリティ専門家は、この種の機密情報を第三者と共有すれば、漏洩や侵害のリスクが高まるだけだと指摘しています。幸い、オンラインアカウントが不正アクセスを受けていないか確認できる無料ツールも存在します。

5. 漏洩記録数が国の人口を上回った南アフリカの事例

南アフリカ史上最大のデータ漏洩は、流出した個人記録の数が国の総人口を超えるほど広範なものでした。国民の大多数の個人情報だけでなく故人のデータまで含まれ、1,200万人以上の未成年の身分証(ID)番号まで流出しました。

合計で6,000万件の固有ID番号が露出し、連絡先、氏名などの個人情報も併せて流出しました。南アフリカではID番号から生年月日、性別、年齢などの個人情報を割り出せるため、この漏洩は特に深刻でした。犯罪者はこうした番号を使ってなりすましや詐欺を働くことが少なくないからです。

では、なぜこのデータが露出することになったのでしょうか? 「masterdeeds.sql」という名前のデータベースバックアップが、外部からアクセス可能な無防備なサーバー上で発見されました。HaveIBeenPwned.comの創設者でサイバーセキュリティ専門家のTroy Huntは、少なくとも7ヶ月間露出し続けていたこのデータについて通報を受けました。

データを集約してデータベースを構築したのはDracoreという企業でしたが、実際にデータを露出させたのは、同社のクライアントの一つであるJigsaw Holdingsが運用する無防備なサーバーでした。

6. データ企業のファイルがTwitter上に拡散される

米国のデータ管理企業Modern Business Solutionsは、2016年に世論の厳しい批判を受けることになりました。杜撰なセキュリティにより、5,800万件の消費者記録が露出したのです。

ハッカーは防御策のないMongoDBデータベースを突き止め、数百万人分の情報にアクセスして外部に拡散しました。データベースをダウンロードし、公開サイトにアップロードしたうえで、そのリンクをTwitter上に投稿したのです。設定ミスのあるMongoDBデータベースは、ハッカーが無警戒な人々から情報を窃取する手口のひとつとして知られています。

この事例で露出したデータには、氏名、生年月日、メールアドレス、郵送先住所、役職、電話番号、車両データ、IPアドレスが含まれていました。

7. データブローカーから数百万件の個人情報が盗まれる

データ収集企業がもたらすプライバシーへの懸念は、以前から存在していました。2013年には、ハッカーが主要なデータブローカー数社のサーバーに侵入し、数百万人分の米国人の情報を窃取していたことが発覚し、データハーベスティングの危険性が改めて浮き彫りになりました。

ハッカーは設定ミスのあるサーバーやセキュリティ上の欠陥、防御策のないデータベースを通じて大量のデータにアクセスし、それらを「SSNDOB」というサイトにアップロードしました。SSNDOB自身も、盗んだ情報を販売するデータ集約サイトだったのです。

窃取されたデータには、社会保障番号、信用記録、経歴調査結果、生年月日、住所などの個人情報が含まれていました。ハクティビストの少年たちがSSNDOBを突破した際、その記録がどれほど広範に及んでいたかが明らかになりました。カニエ・ウェスト、ジェイ・Z、ビヨンセといったセレブや、当時のファーストレディだったミシェル・オバマのような著名人の住所や個人情報さえ閲覧可能だったのです。

SSNDOBのボットネットは、LexisNexis Inc、Dun & Bradstreet、Kroll Background America Incといった大手データブローカーのサーバーにアクセスしていました。FBIは最終的にこの事件の捜査に乗り出しました。

8. Alteryx、1億2,300万世帯分のデータを無防備なまま公開

2017年、UpGuardはデータ分析企業Alteryxが、防御策のないデータリポジトリを通じて1億2,300万の米国家庭のデータを露出させていたことを発見しました。

公開されていた情報は特に機密性の高いものでした。Alteryxのパートナーには消費者信用調査機関のExperianが含まれているからです。リポジトリには自宅住所、連絡先、住宅ローンの詳細、金融履歴、購買履歴が格納されており、Amazon Web Servicesのアカウントを持つ誰もがアクセスできる状態でした。

UpGuardはこのデータを「米国の消費者の生活に対する、著しく侵襲的な覗き見」と表現しました。幸い現在は公開アクセスできなくなっていますが、他の多くの漏洩事故と同様、何人がこの機密情報に行き当たりダウンロードしたのかは不明のままです。

この漏洩は、企業がどれほど多くの個人データを収集しているかを消費者に再認識させました。単なるインターネット閲覧でさえ、ウェブサイトはあなたに関する個人情報を収集しているのです。

9. Cambridge Analytica以外にもあった、Facebookクイズによるデータ収集

FacebookユーザーはCambridge Analyticaスキャンダルの衝撃から立ち直っていないところでしたが、Facebookのクイズをデータ収集に利用していたのはCambridge Analyticaだけではなかったことが判明します。

New Scientist誌によると、ケンブリッジ大学の研究者たちは「myPersonality」というクイズを作成し、参加者のデータを収集してオンラインデータベースにアップロードしていました。他機関の数百人の研究者が、研究目的でこのデータにアクセスできる状態だったのです。

しかし、不十分なセキュリティ対策のため、このデータは4年間ものあいだ露出し続けました。本来は登録済み共同研究者のログインでのみアクセスできるはずでしたが、流出した有効な認証情報が、あらゆる防御を形骸化させていました。

「過去4年間、有効なユーザー名とパスワードが一度のWeb検索で見つかる形でオンラインに放置されていました。データセットへのアクセスを望む者は誰でも、1分足らずでダウンロードの鍵を手に入れられたのです」とNew Scientistは述べています。

このデータには約300万人のFacebookユーザーの個人情報と、心理テストの結果が含まれていました。

10. 政府機関の従業員3,300万人分を含むデータベースが流出

2017年、Dun & Bradstreetが保有する米国政府および企業の従業員に関するデータベースが流出していたことが明らかになりました。3,300万件を超える記録が露出し、氏名、役職と職務内容、給与、連絡先、メールアドレスなどの詳細が含まれていました。

Dun & Bradstreetに聞き覚えがあるかもしれません。前述のSSNDOBの窃取対象にも、同社のデータベースが含まれていたからです。従業員データを集約してマーケターに販売する同社は漏洩の責任を否定しました。確かにデータベース自体は同社が作成したものでしたが、漏洩の直接の発生源は、数千あるクライアント企業のうちの1社だったとみられています。

Troy Huntは情報提供者からデータベースを入手し、この漏洩を確認しました。Huntは、国防総省の従業員記録がデータの大部分を占めていると指摘しました。データ内ではインテリジェンスアナリスト、化学エンジニア、兵士、小隊軍曹といった具体的な役職まで特定できたため、特定の政府職に潜入または攻撃を仕掛けようとする外国機関にとって有用な情報になり得ます。

「私たちは自分の個人データのコントロールを失っています。ティム・バーナーズ=リーが最近語ったように、私たちには『共有したくないデータ』を企業に伝える手段すらないのが実情です」とHuntはDun & Bradstreetの漏洩に関する報告書で述べています。

漏洩の影響を受けた人々のほとんどは、自分のデータが企業に収集され、緻密に集約されたリストとして売り払われていたことなど、おそらく知らなかったでしょう。

企業はあなたが思う以上に、あなたのことを知っている

これらの事例の多くでは、情報が公になったことについて被害者を責めることはできません。データは企業が複数のサービスや記録から勝手に収集したものであり、消費者は自社のデータが第三者と共有されていることを知らないことがほとんどでした。

だからこそ、利用するサービスのプライバシーポリシーを確認することが重要です。自分に影響を及ぼしかねない情報漏洩のニュースも、常に把握しておくべきです。

企業はあなたが想像する以上に多くのことをあなたについて知っています。しかし、データ保護においてあなた自身が主体的な役割を果たすことは可能です。まずは、オンラインでプライバシーを守るためのガイドをチェックしてみてください。