近年増えている大量の個人データ流出に関する捜査の過程で、個人データを扱う巨大な闇市場の存在が明らかになっている。

■すべて情報が流出?

ウォールストリート・ジャーナルによると、最近のホテル大手マリオットのハッキング被害では5億人の情報が流出し、2012年のリンクトインの問題では1億1700万人、13年のヤフーへの攻撃では30億人が情報を盗まれた可能性がある。こうしたサイバー攻撃で流出した情報の多くは闇市場に流れ、商品として再びまとめられ、犯罪目的で売買されている。

連邦捜査局（FBI）のエルビス・チャン特別顧問は、盗まれて闇市場に流れ込む情報はあまりにも多いため「自分の情報が盗まれたかどうかを心配するよりも、すでに米国人のすべてのデータが流出していると考えるべき」と警告している。

新しく供給される個人情報が豊富なため、クレジットカード番号、ウェブメールのパスワード、社会保障番号といったデータの価格は1件わずか数ドルとなっており、オンライン調査会社リコーデッド・フューチャーのアンドレイ・バリセビッチ氏は「誰かが私の社会保障番号を知りたい場合、3ドル出せば5分で手に入る」という。

データ泥棒はこれまで、パスワードや決済カード情報に重点を置いていたが、マリオットや信用情報機関エクイファクスへの攻撃では、社会保障番号やパスポート番号といった個人証明（ID）情報が重視されている。他人になりすます犯罪に使えるからだと考えられる。

盗んだ情報の売り手は毎週のように新しく出現し、情報は闇市場サイトやディスカッション・フォーラムを通じて、追跡が難しいビットコインなどのデジタル通貨と引き換えにまとめ売りされている。供給量が多いため市場は拡大しており、セキュリティ会社リスクベースト・セキュリティは、市場に出回っている盗まれたID情報は240億件を超えると推定する。

調査会社ジャベリン・ストラテジー&リサーチによると、17年のID窃盗被害額は168億ドルに上る。マリオットやエクイファックスの被害に関しては、まだ売り手が現れておらず、外国政府の関与が疑われている。

■新手の犯罪も

あるハッカー集団が11月、盗んだ4600件の書類に含まれていた情報をパスポートとIDカードの偽造用に提供したことが最新調査で分かっているが、偽造パスポートは盗まれた個人情報を流用する例の1つにすぎない。生年月日、社会保障番号、電話番号、運転免許証番号、銀行関連情報など特定の個人の情報がすべて詰まったファイルは「フルズ（fullz）」と呼ばれ、約100ドルで売買されている。

こうした情報は「SIMハイジャッキング」と呼ばれる新手の犯罪を生んでいる。フルズ・データを使って電話をなくした人を装い、携帯電話サービス会社から新しいSIMカードを入手して被害者の電話番号を管理し、オンライン・パスワードを変更した上で銀行口座から金を引き出すというのがその手口だ。

また、無料でダウンロードできるツールを使って、盗んだパスワードが他のサイトにも使えるかどうか調べる方法もあり、1つのサイトで見つかったパスワードの最大2%が他のサイトでも使えるという。

価値が高いのは企業の情報で、特定のアドレスのログイン情報などは400〜500ドルで売買されている。情報を盗まれた個人から現金を吸い上げられる銀行のオンライン口座へのアクセス情報はさらに高価で、1万5000ドルの預金がある口座で1000ドルだという。(U.S. Frontline News, Inc.社提供）