【速報】Duc Appで個人情報36万件以上漏洩！パスワードなしで誰でもアクセス可能に
Duc Appデータ漏洩のニュース概要
カナダのフィンテック企業デュアルズ社が運営する送金アプリ「Duc App」のデータが、アマゾンがホストするストレージサーバーで不適切に公開されていたことが判明しました。
パスワードなしで誰でもアクセス可能であり、運転免許証やパスポートを含む数十万件の個人情報が流出の危険にさらされていました。
セキュリティ研究者のアヌラグ・セン氏がこの脆弱性を発見し、TechCrunchに連絡しました。
公開されていたデータは暗号化されておらず、サーバーのウェブアドレスを知るだけで誰でも閲覧・ダウンロードが可能でした。
サーバーには、顧客の本人確認に使用された政府発行の書類や、本人確認のための自撮り写真など、36万件以上のファイルが含まれていたとされています。
デュアルズ社のCEOであるヘンリー・マルティネス・ゴンザレス氏は、このデータがテスト用の「ステージングサイト」に保存されていたと説明しましたが、なぜ顧客の個人情報が公開されていたのかについては明確な説明はありませんでした。
TechCrunchからの連絡後、ファイルへのアクセスは遮断されましたが、サーバーの内容リストは依然として閲覧可能です。
デュアルズ社は、データにアクセスした人物やアクセス数を特定できる技術的手段を持っているかどうかについては言及していません。
カナダのプライバシー規制当局も、同社に追加情報の提供を求めています。
今回のデータ漏洩は、アプリやウェブサイトが本人確認のために政府発行の書類のアップロードを求める一方で、収集したデータのセキュリティ対策が不十分であるという問題を示しています。
昨年も、同様の問題が「TeaOnHer」や「Discord」などのアプリで発生しています。
個人情報漏洩の注目ポイント
- カナダのフィンテック企業Duales傘下の送金アプリDuc Appのサーバーが公開され、数十万件の個人情報が漏洩。
- 運転免許証やパスポートなどの身分証明書が暗号化されず、容易にアクセス可能な状態で保存されていた。
- 同様のデータ漏洩が相次いでおり、アプリやウェブサイトでの本人確認時のデータ保護対策の不備が課題となっている。
データ漏洩の分析・解説
今回のデュアルズ社の事例は、単なるデータ漏洩事件として片付けるべきではありません。
顧客の本人確認のために収集された、極めて機密性の高い個人情報が、容易にアクセス可能な形で公開されていたという事実は、現代のフィンテック業界におけるセキュリティ対策の甘さを浮き彫りにしています。
特に、テスト環境（ステージングサイト）におけるデータ管理の不備は、開発段階でのセキュリティ意識の欠如を示唆しており、看過できません。
この問題の深刻さは、単にカナダ国内のプライバシー規制当局の調査に留まらず、グローバルな規模での信頼失墜に繋がる可能性があります。
AIを活用した不正利用や、なりすまし犯罪の増加も懸念されます。
今後は、政府機関が発行するID情報の取り扱いに関する規制が強化されるでしょう。
また、アマゾン・ウェブ・サービス（AWS）のようなクラウドプロバイダーも、セキュリティチェックの強化を迫られることになります。
単に技術的なミスを防止するだけでなく、顧客企業に対するセキュリティ教育や監査体制の整備が不可欠となるでしょう。
同様の事例が相次いでいることから、業界全体でセキュリティ意識の向上と、より厳格なデータ保護対策の導入が急務であると言えます。
※おまけクイズ※
Q. 記事の中で、Duc Appのデータが公開されていたサーバーはどこでホストされていた？
ここを押して正解を確認
正解：アマゾン
解説：記事の冒頭で、アマゾンがホストするストレージサーバーでデータが公開されていたと明記されています。
まとめ
カナダの送金アプリ「Duc App」で、数十万件もの個人情報がセキュリティ対策の甘さから流出の危険にさらされる事態となりました。運転免許証やパスポートといった重要な情報が、誰でもアクセスできる状態で放置されていたのです。
同様の事例が続いていることもあり、アプリやウェブサイトで個人情報を預ける際の不安が改めて浮き彫りになりました。企業側のセキュリティ意識の向上と、より強固なデータ保護対策が求められます。私たちも、個人情報の取り扱いには十分注意し、信頼できるサービスを選ぶことが大切です。
関連トピックの詳細はこちら
