独占情報5,625万人の米国住民の個人情報（名前、自宅住所、電話番号、年齢など）を含むデータベースが、奇妙なことに中国のIPアドレスを持つコンピューターから提供されたインターネット上で発見されました。
この情報サイロは、フロリダに拠点を置く CheckPeople.com から何らかの方法で入手されたようです。CheckPeople.com は典型的な人物検索 Web サイトです。料金を支払えば、名前を入力すると、その人の現在および過去の住所、電話番号、電子メール アドレス、親戚の名前、場合によっては犯罪歴まで調べられます。これらはすべて、おそらく公的記録から収集されたものです。
しかし、これらの情報はすべて、スパマー、悪意のある人物、その他のネットユーザーが一括ダウンロードできる場所に一箇所に集められているだけでなく、理由は不明ですが、中国東部の杭州にあるアリババのウェブホスティング部門に関連付けられたIPアドレスから提供されています。これは、この種の個人情報が流通しているだけでなく、外国の敵対勢力の手に渡っていることを如実に示しています。
Lynxというハンドルネームで活動するホワイトハットハッカーが、この膨大な情報をオンラインで発見し、The Registerに情報を提供しました。彼は、22GBのデータベースがインターネット上で公開されているのを発見し、その中にはCheckPeople.comへのリンクを示すメタデータも含まれていたと語りました。プライバシー保護のため、これ以上の詳細は伏せさせていただきます。
このリポジトリの内容はおそらく公的記録からスクレイピングされたものと思われますが、これらを全て集めると、アメリカ国内の数千万人の詳細なプロフィールが提供されます。つまり、CheckPeople.comは公的個人記録を集約するという大変な作業を既に行っており、この公開されたNoSQLデータベースによって、その情報のクロールと処理がさらに容易になります。
「データ自体は無害で、公開データです。しかし、このようにまとめると、一部の人にとっては大きな価値を持つ可能性があると思います」と、リンクス氏は今週、エル・レグ紙に語った。「人々がこれらのデータを他のデータセットと組み合わせ始めるのが怖いのです」
CheckPeople.com も犯罪歴検索を提供しているが、Lynx はキャッシュ内にその情報を見つけられなかった。
AWSはS3バケットのリークを防ぐための新しいツールを導入しているので、いくつかの設定をし直す必要があるかもしれません。
続きを読む
The Registerは、漏洩についてCheckPeopleの担当者に何度も連絡を取ろうとしましたが、サイト管理者からの返答はまだありません。カスタマーサポートのコールセンターは、同社にメールを送るよう指示しましたが、その後メッセージは無視されたようです。同様に、Lynx氏も、サードパーティのコールセンター担当者以外には連絡が取れていないと述べています。
個人記録を売買する会社なら、連絡が取れるかどうかにもう少し気を配るはずだと思われるでしょう。
これは、中国の組織が何らかの方法で CheckPeople から抜き出し、オンライン上に放置したデータなのか、あるいは中国でホストされている CheckPeople サーバーのデータなのかは不明だ。
しかし、中華人民共和国の法律では、政府機関は中国国内のほぼあらゆる機器をいつでも検索できる。つまり、CheckPeopleのおかげで、5,650万人の米国居住者のプロフィールが中国側の手の届くところにあるようだ。公平を期すために、北京は私たち全員のファイルを保有していると推測する。
CheckPeopleに対し、再度の問い合わせを試みたが、結局、返答は得られなかった。同社が連絡を取ることになれば、必要に応じてこの記事を更新していく。また、Alibabaに対し、漏洩したデータベースについて警告するよう連絡済みである。同社が米国民のプライバシーを懸念しているのであれば、その可能性もある。®
追加更新
CheckPeople.comの弁護士は金曜日、同社がこの件について調査中であると語った。
データベースは中国のサーバーから削除されたと承知しています。記録の編集済みスクリーンショットはこちらでご覧いただけます。
