相次ぐデータ搾取に提供(ユーザー)側が対策できることはほとんど無い

データを搾取されるセキュリティインシデントの報告が相次いでいます。僕も一つのサービスから連絡がありました。多くの組織で同じような未対策の脆弱性があったのか、AIによる効果なのか、たまたまなのかわかりませんが、その中にしれっと昨年のインシデントを報告する組織も紛れていたりします。搾取された経緯はわからないものの、大量の運転免許証画像を保管していたのは、安直だった可能性があります。自分たちのシステムに自信があったのか? 組織が保管していたデータを搾取された後、データの提供側ができることはありません。

わからない中でも整理されているのが、JPCERTの報告です。
直近で相次いでいる国内組織における不正アクセスに関する注意喚起
確認されている攻撃手法や、攻撃元IPアドレスも書かれています。これを読む限り、AI云々より、既知脆弱性の放置や、自分たちの開発したAPIが評価不十分であった、可能性が高いと思われます。

その中で古川大臣記者会見（令和8年10月6日）。既に話題になっている通り、「企業や行政機関を標的とした不正アクセスが相次いでおり」に対しては、対策がおかしい。「パスワードの使いまわしをやめる」、「多要素認証」、「不審なメールやSMSに注意」ですから。これで「基本的な対策を徹底することで、多くの被害は防ぐことができ」る、とは。これらで防げるのは、パスワードとメールアドレス等の連絡方法の搾取だけです。

これ以外も、国土交通省は全国レンタカー協会に対して、「個人情報の漏えいを防ぐための対策を点検するよう文書で要請」したとか。具体的な要請内容はわかりませんが、自主点検レベルでは今までと変わりません。驚くのは、今回運転免許証画像を大量に搾取されたサービス、未だに同じ方式の入会方法を提供しているらしいこと。

今後は、いわゆるeKYC (electronic Know Your Customer)で、運転免許証のような本人確認等に使えてしまう画像を新たに提供するのは避けようと思います。事業の範囲は限定されているものの、犯罪収益移転防止法施行規則の改正で来年4月からは使えなくなるそうですが、一刻も早く、かつ広い範囲で、やめてほしい。eKYCの利用側にも大きなリスクのはずで、もはや運転免許証画像が信用できないのは明らかな上、3D顔映像も偽造できるでしょう。