インターネット上に約100万件のパスポートや顔写真付きIDが無防備な状態で公開されていたことが判明
Nearly a million passports and photo IDs were unprotected on the public internet
セキュリティ研究者のサミー・アズドゥファル氏が、インターネット上に約98万5千件ものパスポートや運転免許証などの顔写真付きIDが無防備な状態で公開されているのを発見した。これらのIDは、スペインの薬物クラブの会員のもので、氏名、電話番号、住所、薬物の好みなども含まれている可能性がある。このID管理と販売・会計システムを提供していたのは、アイルランドの企業Cannabis Club Systems (CCS)、旧Nefos Solutionsである。同社が提供するPuffPalアプリのセキュリティに脆弱性があり、ID情報が容易にアクセス可能なURLで保存されていた。Nefosは問題発覚後、PuffPalシステムの停止とAPIの修正、当局への報告、ユーザーへの通知を行うと表明している。しかし、問題発覚から対応までの遅延や、一時的にIDを再度無防備な状態に戻すなどの対応が見られた。Nefosは、アプリ開発を委託していた9Series社の責任にも言及しているが、最終的な責任は自社にあると認めている。EU法に基づき、今回のデータ漏洩について72時間以内の開示義務違反や罰金についても認識を示している。
- セキュリティ研究者サミー・アズドゥファル氏が、約98万5千件のパスポートや顔写真付きIDが無防備な状態で公開されているのを発見した
- ID情報を管理していたのはアイルランド企業Cannabis Club Systems (CCS、旧Nefos Solutions)の提供するPuffPalアプリであり、その脆弱性が原因
- Nefosはアプリ開発委託先である9Series社の責任に言及した上で、最終的には自社に責任があると認めている
本件は、違法行為(薬物クラブ)向けのID管理・会計システムを提供する企業が、セキュリティ脆弱性により約100万件の個人特定情報を露呈させた事件であり、EUのGDPR違反(72時間以内の開示義務)の可能性も指摘されている。投資家視点では、(1) 規制対応や罰金リスクの高まり、(2) 顧客が違法/グレーゾーン産業である場合の企業デューデリジェンスの重要性、(3) スタートアップや小規模SaaSプロバイダーにおけるセキュリティ実装の脆弱性とレピュテーションリスク、に注目すべき。また、アプリ開発を委託した9Series社への責任転嫁の動きは、サプライチェーンセキュリティ管理の難しさを示す好例でもある。