51 min
このエピソードではいくつかの異なる出来事を取り上げていますが、すべて同じ一点に行き着きます。詐欺はたいてい、ひとつの出来事で完結するものではありません。それは連続したプロセスです。侵害が起こり、データが流出し、犯罪者が何が有効かを試し、その悪用は時間とともに進化していきます。
そこで今日は、盗まれたデータが悪用されるまでの不正ライフサイクルと、それが現実の世界で実際にどのような形になるのかを解説します。具体的には、マクドナルドの応募者データ流出事件、なぜ弱いパスワードによる侵害リスクがいまだに防げたはずの情報流出を生み出しているのか、新たなクレジットカード不正被害の傾向、不正調査研究者デイビッド・マイモン氏がドックスされた後に何が起きたのか、そしてある女性がほぼ全ての退職金を失うことになった壊滅的ななりすまし詐欺について取り上げます。
そうですね、これはいくつかの点でかなり神経を逆なでします。
一見すると、これらの出来事は無関係に思えるかもしれません。企業のデータ侵害。個人情報の不正利用。決済詐欺。信頼を悪用した詐欺。しかし詳しく見ていくと、すべて同じパターンでつながっています。犯罪者は、流出した情報を時間をかけて、波のように、しかも一つの方法に限らず複数の手口で悪用するのです。だからこそ、盗まれたデータがどのようなライフサイクルで不正利用されるのかを理解することが、不正対策チーム、企業、そして消費者にとって非常に重要なのです。
それが実際にはどういうことかというと、次のとおりです。
- データ侵害に伴う不正被害のリスクは、ニュースの見出しが消えた後も終わることはありません
- ドックスや個人情報の盗難は、即時の詐欺行為を引き起こすだけでなく、長期的な標的型の嫌がらせにもつながる可能性があります
- データ漏えいの後、不正な口座開設やアカウント乗っ取りは、段階的に行われることが多い
- クレジットカード詐欺による損失の推移は、支払い悪用がいかに執拗かつ大規模になっているかを示しています
- なりすまし詐欺の警告サインは、多くの場合、信頼を築くための詐欺手口がすでに効果を発揮し始めてから初めて現れます
このエピソードでお届けする内容
- マクドナルドの応募者データ漏えいが示す、脆弱なパスワードによる漏えいリスクと基本的なセキュリティ対策の不備について
- 最近のクレジットカード不正損失の動向が、加盟店、発行会社、不正対策チームにとって重要である理由
- デビッド・マイモンの経験は、侵害後の不正行為のライフサイクルをどれほど現実的に示しているかを明らかにします
- データ漏えい後の標的型詐欺が、時間の経過とともに進行する身元悪用としてどのような姿をとるのか
- 信頼構築型の詐欺手口と感情操作によって、どのように退職金詐欺が仕組まれていったのか
このエピソードは次のような方におすすめです
- 不正対策、リスク管理、決済、またはトラスト＆セーフティの分野で働いており、情報漏えい後の不正パターンをより明確に把握したい方
- 犯罪者による個人データの悪用が時間の経過とともにどのように変化するのかを理解する必要がある
- 侵害発生後の個人情報盗難や個人情報監視に対する消費者保護を支援する
- さまざまな攻撃手法における不正の仕組みとリスクシグナルについて、実践的な知見がほしい
- 不正防止のためにMFAを改善し、データ漏えい後のリスク曝露を減らそうとしている
このエピソードを気に入っていただけたら、ぜひ購読して、iTunes、Spotify、YouTube、またはお使いのポッドキャストアプリでレビューをお願いします。番組を多くの方に知ってもらううえで本当に助けになります。
エピソードノートと主なポイント
なぜ盗まれたデータを悪用する不正のライフサイクルが重要なのか
これを分かりやすく説明していきましょう。
多くの人はいまだに、不正行為を一度きりの単発の出来事として考えています。情報漏えいが起きた。カードが盗まれた。口座が乗っ取られた。詐欺の電話がかかってきた。そこで話は終わりだと。
通常はそのようにはいきません。
盗まれたデータを悪用するライフサイクルは、その名のとおりのものです。盗まれた、あるいは流出した情報は、いくつかの段階を経て利用されます。特にデータが新しく、すぐに金銭化しやすい場合には、一部の不正利用は即座に行われます。別の不正利用は時間をかけて行われます。犯罪者は、しばらく様子を見たり、複数のデータセットを組み合わせたり、さまざまな使い道を試したり、後でより標的を絞った詐欺に使うために情報を取っておくこともあります。
そこからが本当に面白くなってくるところです。
なぜなら、不正対策チームが最初の波だけに目を向けていると、その後に何が起こるかを見落としてしまうことがあるからです。
- 情報漏えい直後の不正な口座開設
- リカバリ手順が検証された後に、情報流出をきっかけとして発生するアカウント乗っ取り
- 数週間から数か月後に漏えいしたデータを悪用して行われる標的型詐欺
- 複数のチャネルにわたる犯罪者による個人データの悪用
大したことではないように思えるかもしれませんが、不正防止の観点では極めて重要なことです。
マクドナルドの情報漏えいが物語る基本的なセキュリティの課題
マクドナルドの応募者データ漏えいは、本来なら驚くべき話ではないはずなのに、どこかまだ驚かされてしまう出来事の一つです。
もし脆弱な認証情報が数千万件もの応募者情報の流出を招いたのであれば、問題は高度で新しい攻撃手法ではありません。これはごく基本的な管理（コントロール）の不備です。弱いパスワードによる情報漏えいリスクは今もなお現実的な脅威であり、犯罪者にとって不要な侵入口を生み続けています。
それは重要です。
応募者や従業員のデータが漏えいすると、その後に発生する不正リスクは非常に大きくなり得ます。氏名、連絡先情報、職歴などの個人情報は、フィッシング、なりすましによる本人確認詐欺やアカウント不正作成など、さまざまな不正行為に悪用される可能性があります。
だからこそ、不正防止のためのMFAは今でも非常に重要なのです。すべての問題を解決してくれるからではありません。そんなことはありません。しかし、基本的なセキュリティ衛生を徹底するだけでも、本来避けられるはずの多くの被害をいまだに防ぐことができるからです。
このような事例から、不正対策チームやセキュリティチームが学ぶべきポイントは次のとおりです。
- 基本的なアクセス制御は、いまだに頻繁に破られてしまう
- 応募者データは不正行為に非常に悪用されやすい
- 脆弱な認証情報に起因する侵害は、本来防ぐことができる場合が多いため、特に厄介です
- 侵害後の計画は、侵害への対応と同じくらい重要です
あなたのデータが漏えいした後に起こること
このエピソードのこの部分は、ある人物の実体験を通して漏えい後の不正行為のライフサイクルを示しているため、特に有用です。
デヴィッド・マイモンがドックスされた後、彼は自分の個人情報がその後どのように悪用されていくのかを継続的に追うことができました。これは非常に珍しいケースです。通常、被害者は不正利用の一連の流れを最初から最後まで見ることはできず、自分に直接被害が及んだ一部分しか知ることができません。
しかし、これらの多くのケースで実際に起きているのはこういうことです。
最初の波では、不正な口座開設や本人確認の試行、あるいは最も換金しやすいデータに紐づいた短期的な悪用が行われる可能性があります。その後、犯罪者がどの手口がまだ通用するかを試したうえで、同じ情報がデータ漏えい後の、より標的を絞った詐欺に利用されることがあります。そこには、アカウント復旧プロセスの悪用が含まれるかもしれませんし、なりすましである可能性もあります。また、被害者の「身近な人」しか知らないはずの詳細情報を利用した、よりパーソナライズされた詐欺につながることもあります。
この手口は以前にも見てきました。
そしてこれは、漏えいが起きた後の本人確認モニタリングを、多くの人が考えているよりも長く続ける必要がある理由の一つです。リスクは必ずしもすぐに現れるわけではありません。被害者が注意深く監視するのをやめ、犯罪者たちが状況に適応する時間を得た頃になって、後から表面化することもあるのです。
なぜカード詐欺による損失は増え続けているのか
過去15か月間におけるクレジットカード不正による損失の増加傾向は、単なる決済に関する統計ではありません。これは重要なシグナルです。
不正行為の圧力は依然として高まり続けています。犯罪者たちは、依然として拡大可能な手口を見つけ出しています。そして企業は、古くからの問題と新しいツールが入り混じる状況に、同時に対処し続けています。
一見すると、カード不正は漏えいしたデータや個人情報の悪用とは別の話のように思えるかもしれません。しかし、実際にはそうではありません。流出した認証情報、侵害された顧客データ、フィッシング、アカウント乗っ取り、そしてソーシャルエンジニアリングは、いずれもさまざまな形でカード不正を助長しています。
それこそが、人々が見落としている点です。
支払いに対する不正行為は、多くの場合、本人情報の悪用の下流で発生します。そして、盗まれたデータが長く出回るほど、同じ被害者や組織に対して複数の攻撃手法を支えることができます。つまり、増え続ける損失額はカードだけの問題ではありません。より広範な不正エコシステム全体が、ますます効率的になっていることを示しているのです。
不正対策チームは次の点を検討すべきです：
- これらの損失を引き起こしている上流のシグナルは何か
- どれだけ多くの不正行為が、さらされた個人情報から始まっているのか
- 支払い詐欺対策がアカウントおよび本人確認リスクと連携しているかどうか
- 侵害発生後の不正パターンが取引行動にどのような影響を与えているか
なりすまし詐欺は、盗みを働く前にどのように信頼を築くのか
このエピソードで紹介される退職金詐欺の話は胸が張り裂けるような内容であり、多くの詐欺は金銭のやり取りが発生するずっと前から、人の感情につけ込んで進行しているのだという、非常にわかりやすい警鐘にもなっています。
詐欺師たちは、いきなりお金を要求したわけではありません。まず信頼を築きました。もっともらしい人間関係を作り上げました。思いやりを装い、時間をかけ、感情を操ることで、疑いの気持ちを弱め、言うことを聞かせやすくしたのです。多くの詐欺はまさにこのような手口で行われます。
正直なところ、それこそが彼らの手口がこれほど効果的な理由なのです。
なりすまし詐欺の警告サインは、最初はごくさりげないことが多くあります。被害者は、自分は誰かの役に立っている、誰かを守っている、切迫しているがもっともらしい状況に対応している、と思い込んでしまいます。要求が明らかに危険なものだと気づく頃には、相手の信頼を得るための詐欺の手口が、すでに大きな効果を発揮しているのです。
だからこそ、退職金詐欺の防止や、なりすまし被害後のより広い消費者保護は、技術的な対策だけに焦点を当てるわけにはいきません。人間の行動や感情的な弱さ、そして詐欺師がどのようなペースでやり取りを進めていくのかも考慮する必要があります。
一般的によく見られるパターンには、次のようなものがあります。
- 緊急性を伝える前に、まず信頼関係を築くこと
- 信頼できる助言者から秘密裏に引き離したり、孤立させたりすること
- 実際にあった話のように感じさせるために、相手の個人的な情報を利用すること
- 要求を一度にではなく、少しずつエスカレートさせること
不正対策チームと消費者が次に取るべき行動
では、これらすべては実際の現場ではどのような意味を持つのでしょうか？
まず、不正行為を単発の出来事ではなくライフサイクルとして捉えてください。侵害は終わりではなく、多くの下流リスクの始まりです。その考え方によって、どのように監視するか、どれくらいの期間監視するか、そしてどのようなシグナルを結びつけるかが変わってきます。
次に、本当に重要なところでは基本に立ち返りましょう。強力なパスワード、多要素認証（MFA）、より良いアカウント復旧の管理、侵害後のより適切なユーザー対応、そして不正対策チームとセキュリティチームのより良い連携です。どれも派手さはありませんが、いずれも欠かせない取り組みです。
第三に、犯罪者が時間をかけて情報を再利用することを決して過小評価してはいけません。長期的なアイデンティティの悪用は、今まさに組織や消費者が理解すべき最重要事項の一つです。データは眠っているように見えるかもしれません。不正の手口は進化します。次の攻撃は、最初のものとはまったく違う形で現れるかもしれません。
それは、リスクが過ぎ去ったと考えてしまう人たちにとって、たいてい良い結果にはなりません。
そして最後に、信頼のサインに常に注意を払い続けてください。ログイン試行であれ、新規口座の申し込みであれ、あるいは人間関係を悪用した詐欺であれ、問いかけるべきことはたいてい同じです。「この人は私に何を信じさせようとしているのか？ そして、その話をもっともらしく感じさせるために何を使っているのか？」ということです。
そこで、不正の仕組みが本当の姿を現し始めるのです。
このエピソードが重要な理由
不正対策に携わっているなら、このエピソードの本質はパターン認識にあります。
マクドナルドの情報漏えいは、基本的なセキュリティ対策の不備がいまだにどれほど大きなリスクを生むかを示しています。カード被害のデータは、決済の不正利用がどれほどの規模で続いているかを物語っています。デイビッド・マイモンの事例は、データが流出した後に、個人情報の悪用がどのような形で行われるのかを示しています。そして退職金詐欺のケースは、高度なマルウェアや技術的な攻撃がなくても、「信頼関係」「タイミング」「人心の操作」によって、どれほど壊滅的な被害が生じうるかを明らかにしています。
そう、これは盗まれたデータを悪用した不正のライフサイクルについてのエピソードです。
しかし、これはもっと大きなことについても語っています。実際の世界で不正がどのように展開していくのか。データが流出から悪用へとどのように移っていくのか。被害者がどのような段階を踏んで標的にされていくのか。そして、なぜ不正対策チームは、世間の見出しが示すよりも、もっと長期的に、広い視野で、そして早い段階から物事を考えなければならないのかということです。
なぜなら、犯罪者たちはすでにそうしているからです。
