年齢確認がもたらすサイバーセキュリティリスクトップ3

最近では、英国のオンライン安全法や、米国のアリゾナ州がアダルトサイトへのアクセスに年齢確認を義務付けるなど、オンラインでの年齢確認を義務付ける政府が増えています。

これらの新しい法律は、これらの州または国の居住者が未成年者にとって不適切とみなされるコンテンツにアクセスするには年齢を確認する必要があることを意味します。

これにより、これらの法律の影響を受ける人々が、これらの制限を回避し、個人情報の共有を避けるために、最適な VPN を検索する回数が急増しました。

年齢確認とその多様な方法は、データのプライバシーと安全性、特に機密情報を処理する第三者によるサイバーセキュリティリスクに関する懸念を数多く引き起こしています。ここでは、第三者による年齢確認サービスがもたらす可能性のあるリスクをいくつか見ていきます。

1: データ侵害、個人情報の盗難、詐欺

多くの英国民と米国民は、ブロックされたサイトやアプリ上のコンテンツにアクセスするために、自分の肖像や政府発行の身分証明書（パスポートや運転免許証など）のコピーをアップロードすることの安全性について疑問を抱いている。

多くの人が、データ侵害によってこれらの情報が盗まれた場合の潜在的な影響を懸念しています。IDカードに記載されている個人情報はハッカーにとって非常に価値があり、ダークウェブで高額で売却される可能性があります。

第三者がハッキングされ、ユーザーの身分証明書のコピーが盗まれた場合、関係者全員に甚大な影響を及ぼす可能性があります。主な懸念事項は、もちろん、個人情報の盗難と詐欺です。

ハッカーが誰かのパスポートや運転免許証のコピーにアクセスした場合、あなたの名前で銀行口座を開設したり、ローンやクレジットカードに申し込んだり、さらにはあなたの情報を使って偽の身分証明書を作成したりするなど、様々な不正行為を行う可能性があります。これは、信用スコアの低下や、自分の名前で犯罪が行われるなど、被害者にとって甚大な影響を及ぼす可能性があります。

残念ながら、サードパーティのサービスが可能な限り安全であり、ユーザーの個人情報が可能な限り保護されていることを確認する責任は、サードパーティのサービスを採用している企業やサイト、およびサードパーティのサービス自体にあります。

2: サードパーティのサービスによってもたらされるデータリスク

新しい年齢確認法に準拠するため、多くの企業がサードパーティサービスによる年齢確認を導入しています。例えば、ソーシャルメディアサイトRedditはPersonaを採用しています。

しかし、これらのサードパーティサービスにはリスクが伴います。例えば、オンラインセーフティ法の遵守に利用されているサードパーティ企業の多くは、実際には米国に拠点を置いており、これらの企業が保管する英国のデータに懸念を抱かせます。愛国者法に基づき、これらの企業は保有するデータを米国政府に提供するよう強制される可能性があるためです。

これに対抗するため、企業は年齢確認に使用した情報を検閲または削除する必要があります。例えば、PersonaはID確認データを7日間以上保存しないと発表しています。

これは、米国に拠点を置く定評のあるVPNサービスであるPrivate Internet Accessが、ユーザーデータを一切記録・保存しないことでユーザーのプライバシーを保護している方法と似ています。同社は四半期ごとに、受け取った情報開示請求に関する報告書を公開していますが、報告書によると、米国政府とは一切情報を共有していないことが示されています。結局のところ、保有していないデータを公開することはできないのです。

ただし、Personaとそのデータ保護方針は、ユーザーの年齢確認に利用されているすべての第三者認証会社を代表するものではありません。つまり、他の企業はユーザーのデータを7日間よりもはるかに長期間保持する可能性があり、米国政府から要求された場合、より多くのデータを提出する必要があることになります。

彼らがアクセスするデータの機密性を考慮すると、これは明らかに問題があります。

3: より現実的なフィッシングキャンペーン

昨年、私は、データ漏洩や侵害から盗まれた実際のデータと、意図的に不安を煽るスクリプトを組み合わせ、金銭を支払わなければプライベートな写真や詳細が連絡先リスト全体に漏洩するリスクがあると被害者を説得する、新たなセクストーション詐欺について書きました。

もちろん、ハッカーは実際にこれらの写真や詳細情報にアクセスできたわけではなく、特定の種類のマルウェアが実際に何をするのかについて被害者が限られた知識しか持っていないことを頼りにしていました。しかし、年齢確認の新しい法律では、ユーザーに自分の写真や政府発行の身分証明書の写真のアップロードが義務付けられているため、詐欺師は簡単にこれを悪用し、さらに恐ろしいスクリプトを作成する可能性があります。

年齢確認システムを使用してアダルト Web サイトにアクセスした場合、データにアクセスされた可能性が急に高くなり、詐欺師が送った嘘を信じてしまう可能性が高くなります。

詐欺師たちが、他のデータ侵害や漏洩から盗まれた政府発行の身分証明書に記載されている可能性のある情報にアクセスできた場合、この話はさらに信憑性が増すでしょう。

ただし、第三者認証とは、あなたのアカウントデータが認証サービスと共有されず、あなたのIDデータがアクセスしようとしているサイトと共有されないことを意味することを覚えておくことが重要です。したがって、詐欺師がこれら2つをリンクさせたと主張している場合、それは嘘です。