ティビングの個人情報漏洩事故において、グーグルやネイバーなどの外部ポータル、携帯電話、アイピンなどの本人確認過程で生成された個人識別値である連携情報(CI)が1904万件漏洩し、新たなセキュリティ上の問題が浮上している。
現行法には、個人識別が可能なCIが漏洩しても無効化や新しい値への交換手続きが存在しない。放送メディア通信委員会（放米通委）がこれに対する対策を検討中であることが確認された。
7日、放米通委の関係者は「漏洩したCIを無効化または新しい値に交換できるか、実務的な観点から包括的に検討中」と述べ、「具体的な変更方法や適用対象は未確定だが、早急に結果を出せるだろう」と明らかにした。
今回のティビング事件では、CIが実際の被害者数を算出する基準として利用された。先日、3日に民間と官庁の合同調査団が発表した結果によれば、CIを保有するアカウントの漏洩数は1904万件であった。ここから重複アカウントを除いた実際の利用者は約1324万人と集計された。
CIを持たない約2040万件のアカウントは、同一人物が複数のアカウントを保有しているか確認が難しく、全体の被害者数は確定していない。
CI値が漏洩しても、ハッカーがアカウントを乗っ取ったり金融取引に利用することはできない。しかし、多数の事業者が同一のCIを使用している点が問題である。攻撃者が確保した漏洩データベース(DB)や別途保有しているデータに同じCIが含まれている場合、個人の名前・連絡先・加入サービスなどの散在する情報を同一人物基準で結合することが可能である。
最教授は「CI自体だけでは危険ではないが、悪用目的で自身が持つデータと漏洩したデータを結合する際にCIを利用すれば、同一人物を特定できる」と指摘し、「複数のデータと結合した場合、リスクが高まる」と述べた。
システム上、CIは1人につき1つの値が付与される。新たに認証過程を経ても同じ値が付与されることになる。しかし、クレジットカードやパスワードのように漏洩した値を停止したり新しい値に交換する手続きは存在しない。
最教授はCIが技術的に変更できない値ではないと説明した。最教授は「これまでCIを変更しない方向で制度を運営してきたが、変更してもよい値である」と述べ、「初めて導入された趣旨に従い、仮の識別子の機能を回復し、現在永久的に使用されているCIに有効期限を設ける方向に進むべきだ」と強調した。
有効期限が切れたり漏洩事故が発生した場合に新しい値を発行すれば、既存のCIが外部に漏洩しても長期間にわたり複数のデータの接続手段として使用されるリスクを低減できるという説明である。
最教授は「放米通委が現在指定した本人確認機関を中心にCIを生成・提供しているため、関連規定を整備すれば有効期限と交換体制を導入できるだろう」と付け加えた。
放米通委は6月、ティビングを対象にCIの処理目的や保存・送信過程の暗号化の有無、侵害事故対応計画などを確認する緊急実態点検に着手した。住民登録番号とCIの分離保管義務の施行日を来年5月から1月に前倒しする告示改正も進めている。
放米通委の関係者は「現在、議事日程は決まっていないが、告示改正に関する議事日程は残り少ない」とし、「今月中に進行されるだろう」と述べた。
* この記事はAIによって翻訳されました。
亜洲日報の記事等を無断で複製、公衆送信 、翻案、配布することは禁じられています。
