企業はアイデンティティを使用します毎日チェックして確認する彼らの顧客は誰なのか。彼らの多くは、この仕事を外部の会社に任せています。そうした企業の 1 つが Onfido で、現在は Entrust の一部となっています。現在、Onfido に関係する不正アクセスの報告により、企業が顧客の機密情報をどのように保護するかについて新たな懸念が生じています。
これまでのところ、詳細はほんのわずかしか公開されていない。オンライン報告によると、身元確認中に顧客がアップロードした身分証明書や顔の自撮り写真に何者かがアクセスした可能性があるという。報道によれば、フランスのフィンテック企業スピコは、事件発見から約10カ月後に一部の影響を受けるユーザーに通知したという。
この記事の執筆時点では、Entrust も Spiko も、何が起こったのか、あるいは何人の人が影響を受けたのかを正確に説明する詳細な公開情報を共有していません。その結果、多くの疑問が未解決のまま残されています。それでも、サイバーセキュリティとプライバシーの専門家らは、今回の件は単一の企業を超えた、より大きな問題を浮き彫りにしていると述べている。
企業は人々の最も機密性の高い情報の一部を保管しています
ID 検証プロバイダーは、今日のオンラインの世界で重要な役割を果たしています。銀行、仮想通貨取引所、フィンテック企業、オンライン ストア、その他多くの企業は、顧客の身元を確認するためにこれらの企業を使用しています。これらのチェックを完了するために、顧客は多くの場合、パスポート、国民 ID カード、運転免許証、住所証明書類、顔の自撮り写真をアップロードします。
つまり、これらのプロバイダーは機密性の高い個人情報の膨大なコレクションを保持していることになります。これは、サイバー犯罪者にとって魅力的な標的にもなります。パスワードとは異なり、顔や多くの政府発行の身分証明書は、公開された後に簡単に置き換えることはできません。盗まれたパスポートの画像や顔認証用の自撮り写真は、犯罪者にとって長年にわたって有用なままになる可能性があります。
これが、プライバシーの専門家がアイデンティティ データの保護について警告し続ける理由の 1 つです。この報告された事件は、Entrustが今年初めに本人確認会社を買収した後、Onfidoを自社の事業に加え続けている最中に発生した。
Entrust は、Onfido のテクノロジーと自社製品を組み合わせて、アイデンティティ セキュリティ サービスを拡張しました。捜査当局は報告された事件について多くの詳細を確認していないが、この事件により、本人確認プロバイダーが顧客記録をどのように保護するかについての社会的議論が新たになった。
この報告された事件は、より多くの企業や政府がデジタル身元確認を拡大する中で発生した。多くの金融サービス、オンライン プラットフォーム、年齢確認システムは現在、顧客の確認をサードパーティ プロバイダーに依存しています。プライバシー擁護派は何年もの間、このアプローチについて懸念を表明してきました。
彼らは、少数の企業内に何百万もの ID レコードを置くと、攻撃者にとって貴重な標的が生まれると主張しています。企業が強力なセキュリティ対策を講じている場合でも、非常に多くの情報を 1 か所に保存すると、インシデントが発生した場合の影響が増大します。
デジタル プライバシーに関する議論は世界中で行われています。中国はインターネットアクセスの規制を強化している、不正な VPN 使用の取り締まりが含まれます。
単一のセキュリティ イベントにより、多くの人が所有する情報が一度に公開される可能性があります。 Entrust は、2026 年の ID 詐欺レポートでも、この増大する問題について議論しました。
Entrust によると、ID 攻撃は年々高度化し続けています。同社は、犯罪者が現在、AI生成のディープフェイク、生体認証詐欺の試み、その他のアイデンティティベースの攻撃をより多く利用していると述べた。 Entrust は、組織は 1 つの ID チェックだけに依存すべきではないと考えています。その代わりに、企業は関係全体を通じて顧客の身元を保護する必要があると同社は述べている。
報告された Onfido 事件は、本人確認業界全体の広範な傾向も反映しています。近年、いくつかのプロバイダーがセキュリティインシデントやデータ漏洩事件を公表しています。
これらの出来事により、KYC プロバイダーが顧客情報をどのように収集、保存、保護するかについて注目が集まるようになりました。研究者らはまた、本人確認会社がデジタル世界で最も機密性の高い情報の一部を管理していると警告し続けている。
これらのプロバイダーの多くは、政府発行の身分証明書を生体認証情報とともに保存しているため、攻撃者がアクセスした場合にそのデータベースは特に価値があります。
多くの疑問はまだ答えられていないままです
報道されたオンフィド事件に関する多くの事実は不明のままだ。当局は影響を受けたユーザーの総数を確認していない。また、誰かがどのような情報にアクセスした可能性があるのかについても、正確には確認していない。詳細が明らかになるまで、外部の本人確認プロバイダーに依存している企業は、顧客からさらに多くの質問に直面する可能性があります。
人々は、企業がアイデンティティ記録をどのくらいの期間保管するかを知りたいと思うかもしれません。また、セキュリティ インシデントを発見した後、企業がどのくらい迅速に対応するかについても尋ねる場合があります。もう 1 つの重要な問題は、企業が影響を受けるユーザーと情報をどの程度オープンに共有するかです。報告された事件により、大量のKYCデータを外部プロバイダーに保管するリスクについての議論も新たになった。
政府や民間企業がデジタル ID の要件を拡大し続けるにつれ、その情報の保護がさらに重要になります。人の身元を確認することは仕事の一部にすぎません。
企業はまた、パスポート、身分証明書、顔の自撮り写真、その他の個人記録を収集した後、それらを保護する必要があります。今のところ、報告された Onfido 事件は引き続き検討中であり、多くの重要な詳細はまだ確認されていません。
さらなる情報が入手可能になるまで、この事件は企業にアイデンティティデータの収集にはそれを安全に保つ責任も伴うことを思い出させ続ける。