51 min
今日は、データブローカーにまつわる不正リスクと、人々が自分で提供したり、あるいは多くの場合ほとんど自覚のないまま収集されてしまう個人情報が、どのようにして詐欺やフィッシング、なりすましなどの不正利用、ランサムウェア被害、そしてそれ以外のさまざまな問題の燃料になってしまうのかを掘り下げていきます。
私はIncogniのIronwallのCEO兼創業者であるロン・ザヤス氏と腰を据えて話し合い、データ経済とは何か、データブローカーと個人情報盗難が多くの人が思っている以上にどのようにつながっているのか、そしてポイントカードや旅行予約、ソーシャルメディアでの行動といった日常的なことが、人々の想像以上に大きなプライバシーと不正の問題を生み出している理由について語りました。
そうですね、これはプライバシーの話から始まって、あっという間に不正防止の話になってしまうような会話のひとつです。
一見すると、データ収集は無害に思えるかもしれません。ここではポイントプログラム、あちらでは位置情報の送信、手早い会員登録、そしてソーシャルプロフィール。しかし、よく見てみると、そうした小さな情報の断片が買われ、売られ、つなぎ合わされて、極めて詳細なプロファイルとなり、超パーソナライズされたフィッシング攻撃や経営層の標的化、アカウント乗っ取りの試み、さらには身体的な安全性へのリスクにまで利用されてしまうのです。
それは問題です。
それが実際にはどういうことかというと、
- 消費者データの収集に伴うリスクが実質的な保護措置を上回ると、データブローカーによる不正のリスクは高まります
- 犯罪者が詳細な背景データを持っていると、ハイパーパーソナライズされたフィッシング攻撃はより信憑性の高いものになる
- 盗まれた個人データを悪用するAI詐欺により、なりすましやソーシャルエンジニアリングがより大規模に行えるようになっている
- オンライン上のプライバシー保護と不正防止は、今や消費者と企業の双方にとって密接に結びついた課題となっている
- 企業と個人の双方が、個人データの露出を最小限に抑え、データブローカーによる悪用を防ぐための、より優れた手段を必要としています
このエピソードでお届けする内容
- データブローカーと個人情報盗難が、大規模な個人データ収集を通じてどのようにつながっているのか
- なぜロイヤルティカードのデータ流出、旅行データのプライバシーリスク、そしてソーシャルメディアのデータ悪用が、多くの人が思っている以上に重大なのか
- 犯罪者が仲介された情報をどのように利用して、極めて個人に特化したフィッシング攻撃や、仲介データを用いたランサムウェアの標的型攻撃を仕掛けるのか
- なぜ米国のプライバシー法の抜け穴が、消費者と企業を本来よりも大きなリスクにさらし続けているのか
- 個人データブローカーからの情報削除、VPNを使ったプライバシー保護のベストプラクティス、そしてデジタルフットプリントを減らすための実践的な対策
このエピソードは、次のような方におすすめです
- 不正対策、プライバシー、トラスト＆セーフティ、またはサイバーセキュリティの分野で働いており、データ経済におけるサイバー犯罪リスクをより明確に理解したい方
- 自社や顧客のために、オンライン上のプライバシー保護と不正防止の強化に取り組んでいる
- 盗まれた個人情報を悪用するAI詐欺が、従来の詐欺手口をどのようにより効果的なものにしているのか理解したい
- フィッシングやなりすまし被害、ソーシャルエンジニアリングからのプライバシー保護を重視している
- 個人情報の露出を最小限に抑え、経営幹部をドックス行為や標的型の嫌がらせから守るための実践的なアイデアが必要です
このエピソードを気に入っていただけたら、ぜひ購読して、iTunes、Spotify、YouTube、またはお使いのポッドキャストアプリでレビューをお願いします。番組を多くの方に知ってもらううえで本当に助けになります。
エピソードノートと主なポイント
なぜデータブローカーによる不正リスクは多くの人が考えているよりも大きいのか
これを分かりやすく説明しましょう。
多くの人は「データブローカー」と聞くと、プライバシーを侵害する厄介な存在だと考えます。ダイレクトメールの山かもしれないし、気味の悪い広告かもしれないし、あるいは「いろいろな会社が自分のことを知りすぎている」という漠然とした不安かもしれません。
それどころではないほど深刻な問題です。
データブローカーによる不正リスクは、単にターゲット広告の問題にとどまりません。詳細な個人情報が収集され、パッケージ化され、販売され、あなたが意図的に関わったことのない人や組織によって再利用されるときに何が起こるのか、という問題です。そこには、住所の履歴、家族関係、購買行動、移動パターン、電話番号、メールアドレスなど、驚くほど多くの情報が含まれる可能性があります。
そして一度その情報が出回ってしまうと、その後どこへ行くのかをあなたはコントロールできません。
本当のリスクが生じるのは、まさにその点です。なぜなら、データブローカーと個人情報の盗難は、しばしば同じエコシステムの中で交差しているからです。十分な個人情報が、購入・集約・再利用のためにすでに入手可能であれば、犯罪者は必ずしも一からすべてを盗む必要はありません。
日常的なデータ収集が不正行為を助長する仕組み
これは、ロンとの会話の中でも特に印象に残っている部分の一つです。
このシステムに取り込まれるデータは、必ずしも劇的な情報漏えいから来るわけではありません。その多くは、日常のごく普通の行動から生まれます。ポイントカードのデータ流出。旅行データのプライバシーリスク。ソーシャルメディアのデータ悪用。アプリの権限設定。マーケティング提携。公開情報。こうしたものが積み重なって、あっという間に膨大な量になるのです。
一見すると、それぞれのデータは小さく見えます。しかし、それらをつなぎ合わせると、犯罪者にとって非常に有用なプロフィールが出来上がってしまいます。
そのプロフィールは次のことに役立ちます。
- 実在の詳細を引用することで、もっともらしく聞こえる高度にパーソナライズされたフィッシング攻撃
- 盗まれた個人情報を悪用し、口調や文脈、人間関係まで巧妙に真似るAI詐欺
- 企業や経営幹部を標的とし、仲介されたデータを悪用するランサムウェア攻撃
- 役員をドックス行為や標的型の脅迫から守る
- 所在地や連絡先の情報が悪用される、家庭内虐待やデータブローカーによる被害
まさにこうした脆弱性こそ、犯罪者が狙うものです。1つのデータが特別な力を持っているわけではなく、正確なデータが十分に集まることで信頼が生まれてしまうのです。
それが重要なのです。
なぜプライバシーがいま不正防止の課題になっているのか
これまでもさまざまな形でお伝えしてきましたが、この会話によってそのことが本当にはっきりと伝わると思います。
プライバシーはもはや、詐欺対策チームが「本当の」リスクに対処している横で、切り離された別個の問題として存在しているわけではありません。プライバシーと不正防止は、今や非常に実務的な形で結びついています。犯罪者が十分な個人情報を購入したり、寄せ集めたりできてしまえば、詐欺をより標的化し、もっともっと信憑性の高い、成功しやすいものにしてしまうのです。
つまり、オンラインのプライバシー保護と不正防止は、同じ大きな議論の一部として扱われる必要があります。
それは実際にはどのような姿になるのでしょうか？
それは、個人データブローカーからの情報削除が、単にスパムを減らすためのものではないと理解することです。フィッシングやなりすまし、ストーキング、アカウント復旧の悪用、経営幹部の標的化といったリスクへの曝露を減らすことにもつながります。消費者データ収集に伴うリスクを、単なるマーケティング業務の一部ではなく、脅威モデルの一部として扱うことでもあります。そして、詐欺防止のためのプライバシーツールが、状況によっては従来型の検知ツールと同じくらい重要になり得ると認識することでもあります。
なぜなら、すでにデータが出回っていると、詐欺がしやすくなるからです。
AI が仲介されたデータをより危険なものにしている理由
ここからが本当に面白くなってきます。
仲介された個人データは、これまでも詐欺師にとって有用なものでした。しかし、AIによってその規模とスピードは一変しました。同じ情報でも、以前よりはるかに速く、もっともっと信憑性の高いメッセージや偽サイト、個別に最適化された勧誘、そしてソーシャルエンジニアリング用の台本を作り出すことができるようになったのです。
それは問題です。
盗まれた個人情報を悪用するAI詐欺は、完璧である必要はありません。重要なのは「どこか見覚えがある」「心当たりがある」と感じさせることだけです。たとえば、最近の旅行に触れたメッセージ。実際に使っているロイヤルティプログラムのブランド名をかたる詐欺メール。あなたの役職や同僚、住所の履歴まで知っているかのように装う偽のサポート対応などがその例です。
あまりにも露骨です。
だからこそ、フィッシングに対するプライバシー保護が今まで以上に重要になっています。詐欺そのものは見覚えのある手口かもしれません。しかし、個人に合わせた細かな仕掛けが加わることで、人々がその脅威に気づくことがはるかに難しくなっているのです。
不正対策チームとビジネスリーダーは、次の点について考えるべきです。
- どれだけ多くの顧客や従業員の機密データがすでに出回っているのか
- トレーニング内容が、実際に起きている高度にパーソナライズされたフィッシング攻撃の実態を反映しているかどうか
- デジタルフットプリントを減らすためのヒントが、将来のリスクをどのように軽減できるか
- データ経済におけるサイバー犯罪リスクについて社内チームが知っておくべきこと
なぜ米国は依然としてプライバシー保護で遅れているのか
このエピソードの大きなテーマの一つは規制、もっと言えばその欠如です。
ロンは、アメリカのプライバシー法の抜け穴によって、消費者の保護がヨーロッパの一部の地域に比べて依然として不十分なままであることについて語っています。そして正直なところ、その影響はあらゆるところに現れています。より多くのデータ収集、より多くの転売、より多くのあいまいさ──そして、本来は自分たちが生み出したわけではない問題を個人が後始末しなければならないという、より大きな負担がのしかかっているのです。
たいていはうまくいきません。
その結果、人々は自分たちにはほとんど見えないリスクを管理することを求められる仕組みが出来上がっています。誰が自分のデータを収集し、誰がそれを転売し、何が正確で何が古くなっていて、どうすれば削除できるのかを把握しておかなければならないのです。一方で、その仕組みで利益を上げている企業には、それを存続させ続ける十分な理由があります。
ここは、ポリシーが非常に重要になる分野のひとつです。しかし、より大きなプライバシーをめぐる議論が長引く一方で、不正対策チームや個人は、今この瞬間にもリスクへのさらなる露出を減らすための実践的な手段を必要としています。
今、人々と企業にできること
では、これを実践的なものにしましょう。
自分ひとりの力でデータブローカーの仕組み全体を止めることは、たぶんできません。そうできたら最高ですが、現実的ではありません。でも、それでも本当に状況を変えられる行動はいくつもあります。
それには次のようなことが含まれます。
- 可能な場合は、個人情報ブローカーの削除サービスや手動でのオプトアウトを利用すること
- 不要なデータ露出を減らすために、VPNのプライバシーに関するベストプラクティスに従うこと
- ロイヤルティプログラムの利用やアプリの権限設定、公開プロフィールの情報について、より慎重に選択すること
- 従業員や経営陣に対して、ハイパーパーソナライズされたフィッシング攻撃に関するトレーニングを実施すること
- 盗まれたデータが実際の詐欺でどのように再利用されるかについての認識を高める
そして企業にとっては、自社の内側を見つめ直すことも意味します。どれだけ多くの顧客データを収集しているのか、どのくらいの期間それを保持しているのか、誰と共有しているのか、そしてそうした提携関係が、見落としやすい形でリスクを高めていないかを考えてみてください。
個人データの露出を最小限に抑えることは、消費者だけの問題ではありません。企業にとっての課題でもあります。
なぜ今この議論が重要なのか
不正対策に携わっているなら、このエピソードの本質はパターン認識にあります。
犯罪者が持つデータが多ければ多いほど、なりすましや操作、圧力、欺瞞がしやすくなります。AI が進歩すればするほど、そうした手口を大規模に展開することが容易になります。そしてプライバシー保護が弱ければ弱いほど、その仕組みに注ぎ込まれる燃料は増え続けるのです。
そう、これはデータブローカーに関わる不正リスクについての話です。しかし同時に、現代の詐欺の仕組み全体についての話でもあります。なぜ詐欺が以前よりもっと信じやすくなっているのか。なぜ被害者が狙い撃ちにされるのか。なぜ企業が危険にさらされるのか。そして、不正を減らす責任を負うすべての人にとって、なぜプライバシーをこれまで以上に真剣に考える必要があるのか、という話なのです。
一度すべての要素がどうつながっているか見えてしまうと、データ収集を無害なバックグラウンド処理として扱うのは、はるかに難しくなります。
そして正直なところ、おそらくそれこそが狙いなのでしょう。
