中国１０億人の個人情報流出、１年以上前から放置　警察の犯罪記録も

（ＣＮＮ） 中国の市民最大１０億人の個人情報を記録したデータベースが、セキュリティー対策の不備によって１年以上もの間、誰にでもアクセスできる状態で放置されていたことが分かった。闇フォーラムで先週、匿名のユーザーがこの情報を売りに出したことから事態が発覚した。

サイバーセキュリティーの専門家は、史上最大級の情報流出事件になるかもしれないと指摘しており、膨大な量の個人情報をインターネットネット経由で収集・保存することのリスクが浮き彫りになった。

オンライン上で露呈されているデータベースの記録サイト「ＬｅａｋＩＸ」によると、今回流出した大量の個人情報は、ウェブアドレスさえ知っていれば誰でも無制限に利用できるショートカット経由で、少なくとも２０２１年４月から公開された状態になっていたと思われる。

問題のデータベースはパスワードを入力しなくてもアクセスすることが可能だった。しかし匿名のユーザーが６月３０日、闇フォーラムに広告を出し、２３テラバイト（ＴＢ）超のデータを１０ビットコイン（約２７００万円相当）で販売すると持ちかけたことを受けて閉鎖された。

このユーザーは問題のデータベースについて、上海警察が収集した中国の市民１０億人の氏名、住所、携帯電話番号、国家身分証番号、年齢、生誕地といった個人情報のほか、市民同士のもめごとや犯罪に関する警察への通報電話の記録数十億件が含まれると主張している。

売り主の投稿には、このデータベースに記録された７５万件の情報がサンプルとして添えられていた。ＣＮＮはこのうち２０件あまりについて本物だったことを確認したが、データベースそのものにはアクセスできなかった。

ＣＮＮは上海政府や警察にコメントを求めたが、返答はなかった。

セキュリティー対策に不備があったデータベースは、中国の電子商取引大手アリババ子会社の「アリババ・クラウド」でホスティングされていたと売り主は主張している。アリババはＣＮＮに寄せた声明で、この問題については認識しており、調査に当たっていると説明した。

ただし専門家は、責任があるのはホスティング会社ではなく、問題のデータベースの持ち主だと話している。

中国の人口は１４億人。つまり、国民の７０％以上が今回の情報流出の影響を受ける可能性がある。

データベースがアクセス可能な状態のまま放置されていた１年２カ月あまりの間に、何人がアクセスしたり、情報をダウンロードしたりしたのかは不明。ＣＮＮが取材した西側の情報セキュリティー専門家２人はいずれも、先週脚光を浴びる前からこのデータベースの存在は知っていたと話しており、どこを探すべきかさえ知っていれば、簡単に発見できる状態だったことをうかがわせる。

闇サイトに詳しい専門家のビニー・トロイア氏は、このデータベースを「１月ごろ」、オンライン上で公開されているデータベースを調べていた時に発見したと語った。

「私が発見したサイトは公開されていて、誰にでもアクセス可能だった。必要なのはアカウントの登録だけだった」「２１年４月に開かれていたことから、何人もの人がデータをダウンロードした可能性がある」（トロイア氏）

同氏がダウンロードしたデータベースの主要インデックスには、中国の市民９億７０００万人あまりの情報が含まれている様子だった。

データベースが公開されていたことについてトロイア氏は、「彼らが忘れていたのか、それとも開いたままにしておいた方がアクセスしやすいからと意図的に放置していたのかは分からない」と述べ、「理由は不明だが、あまりにも不注意だ」と強調した。

セキュリティー対策に不備のある個人情報が、流出や不正アクセスを通じて暴露される問題は、世界中の企業や政府機関で一般的になりつつある。一般にアクセスできる状態で放置されているデータベースが見つかることは珍しくないと専門家は言う。

しかし専門家によると、今回の情報流出は、前代未聞の量の多さだけでなく、流出した情報のデリケートな性質からも、特に懸念が大きい。

データベースのサンプルをＣＮＮが解析した結果、０１年～１９年までほぼ２０年間に及ぶ警察の記録が見つかった。大部分は市民同士のいさかいだったが、詐欺や強姦（ごうかん）といった犯罪の記録もあった。

そのうちの１件では、上海の住民が１８年、中国政府のファイアウォールをかいくぐってツイッターにアクセスする目的で仮想プライベートネットワーク（ＶＰＮ）を使ったとして、警察に呼び出されていた。この住民は、「（中国共産）党や政治、指導部にかかわる反動的発言」をリツイートしていたとされる。

別の記録では、１０年に女性が警察への電話で、３歳の娘が義理の父に強姦されたと訴えていた。

情報の流出が脅迫事件に発展することもよくあるという。

ウクライナのセキュリティー研究者、ボブ・ディアチェンコ氏は今年４月に問題のデータベースを発見。６月半ばごろ、このデータベースが何者かに攻撃されているのを同氏の会社が検知した。攻撃者はデータを破壊して複製し、復旧と引き換えに１０ビットコインを要求する脅迫状を残していたという。

この脅迫が、データベースの情報を闇サイトで売りに出したのと同じ人物の仕業だったのかどうかは分かっていない。

ディアチェンコ氏によると、７月１日までに脅迫状は消滅した。しかし売り出されたデータの量は当初宣伝されていた２３テラバイトではなく、わずか７ギガバイトになっていた。

これは身代金の問題が解決されたことをうかがわせるとディアチェンコ氏は解説する。しかしデータベースの持ち主は、先の週末にかけて閉鎖されるまで、露呈されたままのデータベースを保存用に使い続けていたという。