【海外の反応】ID認証企業がハッキングされ身分証データが1年間流出
姉妹サイトの新着
IDの本人確認サービスを提供する企業がハッキングされ、同社がスキャンした身分証明書をハッカーが1年以上にわたってライブフィードで閲覧できる状態だったとTechdirtが報じた。Hacker Newsのスレッドでは、本人確認サービス経由での情報漏洩がなぜ繰り返されるのかという指摘や、政府が第三者企業に本人確認業務を委託する仕組みそのものへの疑問が相次いだ。ゼロ知識証明を使えば身分証を晒さずに年齢確認ができるという技術的な提案が出た一方、児童保護を目的にした年齢確認への皮肉が真に受けられかけるやり取りも起きていた。
あるID確認企業がスキャンしたすべての身分証を、ハッカーが1年以上ライブで閲覧できる状態だった
出典: techdirt.com / 元記事はこちら
(2日前、276件のコメント) https://news.ycombinator.com/item?id=49529621
関連議論はこちら https://news.ycombinator.com/item?id=49529621
でも普通、政府は結局よくわからない第三者に外注するんじゃない?
ずっと引っかかってたんだけど、NSAとか(もっと言えばGoogleや携帯キャリアも)は自分が1年前のこの時間にどこにいたか知ってるのに、自分自身はそれを知らないっていうのは変な話だよな。
そういうのはLLMに聞けばいいんじゃないの?
カリフォルニアDMVは公式サイトで私書箱を居住地住所として認めないと言っている。ただ、それを裏付けるカリフォルニア州法は見つけられなかった(素人判断だけど)。運用面での取り締まりもかなり緩いようだ。
どちらかというと集団訴訟になって、和解金5億ドル、弁護士取り分3億ドル、被害者一人あたり50セント、みたいな流れになりそう。
それでも政府は、身分確認が必要な場面でこういうお粗末な企業を使うよう国民に強制し続けるんだろうね。
ありがとう、本当に紛らわしかった。HNの投稿タイトルはもっとわかりやすく直すべきだね。
この一文の皮肉に気づいていない人がここの読者にも結構いるみたいだ。かなり露骨でわかりやすいはずなんだけどな…
今のは皮肉だよ。
というか、これでは子どもは誰も守られていない。
確かに。自分もポーランドのデジタルIDを使ったゼロ知識証明による年齢確認を作ったことがある(https://x.com/maciejlotkowski/status/1899896737688436844)けど、当時はビジネスとして成立させる方法が見つからなかった。EUにも取り組みがある(https://digital-strategy.ec.europa.eu/en/news/commission-mak…)。方向性自体は悪くないと思うけど、実装については(政府がやることは大体そうであるように)あまり期待していない。
PKIをちゃんと実装できる組織なんて誰も信用してない。web界隈だけでもこれだけミスが起きているんだから、悪意ある人間が突破してくることは十分証明されてる。オフラインでやるのが唯一の代案だと思う。
何か見落としてる? DMVが自分自身にデータを売って年間数千万ドル稼いでるってどういうこと?
DMVはあなたがDMVに提出したデータを(第三者に)売ってるんだよ。DMVがDMVにデータを売ってるわけじゃない。
それってオプトアウトできないのかな?
あはは、今朝はカフェインが足りなくて文の構造を読み違えてた
他サイトの新着
おそらく政府はIDを追跡・管理するシステム構築のために第三者に外注するんだろうね。とはいえデンマークのMitIDのように、政府が定めたルールのもとNETSという機関が主に運用しているケースもある。
Googleマップのタイムラインを使えば(設定してあって、スマホを持ち歩いていれば)実際にそれが見られるよ。
文字通りの「私書箱」は使えないけど、USPSが今提供しているバーチャル住所サービスを使えば問題なく通る。
(DMVに提出したデータ)を[第三者に]売っているのであって、(提出したデータ)を[DMVに]売っているわけじゃない、ってことだよ
本当に? 最近は見分けるのが本当に難しいよ
「最近は見分けるのが本当に難しいよ」――まさに今、あなたが皮肉を言ってるのかどうか自分には判断つかない! 😀
それって2002年に置き去りにされたやつじゃなかったっけ?
チェックにMFAも追加しよう
トップページに約12時間載ってたよ。https://hnrankings.com/49529621
君の位置エンコーディングベクトルがちょっとずれてるみたいだね 😀
この話題の背景と論点
身分証明書のスキャン画像を長期間外部から閲覧できる状態にしていたという今回の事案は、年齢確認やeKYCのために身分証提出を求めるサービスが増えるなかで繰り返し起きている情報漏洩の一例だ。記事本文では具体的な企業名は明らかにされていないが、スレッドでは2日前に276件のコメントを集めた関連投稿へのリンクも紹介されており、同種の話題が続けて注目されていたことがうかがえる。議論が割れたのは対策の方向性で、政府自身が身元確認を担うべきだという意見と、政府も結局は第三者に外注するのだからリスクは変わらないという反論が対立した。ゼロ知識証明を使えば身分証そのものを渡さずに年齢だけを証明できるという技術的な代案も出たが、実際に普及させる事業上の障壁があることも指摘されている。児童保護を名目にした年齢確認法制を皮肉った投稿が字面通りに受け取られかけた場面もあり、風刺と本音の境界が読み取りにくいスレッドでもあった。
※本記事は5ch(Hacker News)スレッド「Hackers Had a Live Feed of Every ID Verification Company Scanned for over a Year」より抜粋・要約して構成しています。
まだコメントはありません。