「アイデンティティ盗難」：ダークウェブの情報で別人になりすます手口とは

インターネット上で個人情報が漏えいすると、「名前やメールアドレスが流出した」「パスワードが漏れた」といったニュースとして報じられることがあります。

しかし、問題は情報が漏れたという事実だけではありません。

複数の情報が組み合わされることで、攻撃者が「その人らしい人物像」を作り上げ、本人になりすますことが可能になります。

氏名、メールアドレス、電話番号、住所、生年月日、勤務先、SNSアカウントなど、一つひとつを見れば特別な情報ではないように思えるものでも、それらが紐づいた瞬間に価値は大きく変わります。

さらに、過去に流出した認証情報やダークウェブ上で売買されている情報が加わると、単なる個人情報漏えいから「アイデンティティ盗難」へと発展する可能性があります。

アイデンティティ盗難とは、他人の個人情報や認証情報などを不正に取得し、その人物になりすましてサービスを利用したり、契約や金融取引などを行ったりする行為です。

本記事では、ダークウェブに流出した情報がどのように組み合わされ、SNSや住所、電話番号などを手掛かりに本人になりすますのか。そして、企業はこのリスクにどう向き合えばよいのかを解説します。

アイデンティティ盗難は「情報を盗む」だけでは終わらない

個人情報の漏えいというと、企業から顧客情報が流出するケースを思い浮かべる人が多いでしょう。

ところが、攻撃者の目的は必ずしも情報を盗むことだけではありません。

本当の価値は、盗み出した情報を使って「その人として行動できるか」にあります。

たとえば、氏名と電話番号だけが流出したとしても、それだけで本人になりすますのは簡単ではありません。しかし、そこに住所や勤務先、SNSアカウント、メールアドレスなどが加われば、人物の特定は徐々に容易になります。

さらに、過去に利用していたサービスのIDやパスワード、登録情報などが見つかれば、攻撃者はその人物についてかなり具体的な情報を把握できるようになります。

つまり、アイデンティティ盗難では、一つの情報が決定的な問題になるというより、複数の情報が組み合わされることでリスクが高まります。

ここが、一般的な「個人情報漏えい」とアイデンティティ盗難の大きな違いです。

ダークウェブでは「点」の情報が「人物像」になっていく

ダークウェブでは、さまざまな企業やサービスから流出した情報が取引されたり、共有されたりしています。

そこにはメールアドレスやパスワードだけでなく、氏名、電話番号、住所、ユーザーID、企業名などが含まれている場合があります。

重要なのは、それらが必ずしも一つのデータベースに整理されているとは限らないことです。

攻撃者は複数の情報源を照合しながら、同一人物に関する情報をまとめていきます。

たとえば、あるサービスから「氏名とメールアドレス」が流出していたとします。

別の場所では、そのメールアドレスと関連するSNSアカウントが見つかるかもしれません。

さらにSNSの公開情報から勤務先や居住地域が分かり、別の漏えい情報から電話番号や過去の住所が判明する可能性もあります。

このように、個別には価値が低く見える情報が、照合によって一人の人物に集約されていきます。

これはOSINT（Open Source Intelligence）の考え方とも関係しています。

公開情報を収集・分析することで人物や組織について情報を把握するOSINTと、非公開の漏えい情報やダークウェブ上の情報が組み合わされると、本人を特定する精度はさらに高まります。

攻撃者にとって重要なのは、「新しい個人情報を盗むこと」だけではありません。

すでにどこかに存在している情報を見つけ、つなぎ合わせることも重要な手段になっています。

SNSが本人確認の材料になることもある

SNSは、アイデンティティ盗難を考えるうえで無視できない存在です。

本人が公開している情報だけでも、意外に多くの情報を推測できます。

プロフィールに氏名や勤務先を掲載していれば、所属組織が分かります。投稿内容から居住地域や行動パターンが推測できることもあります。

写真から利用している店舗や訪問先が分かったり、プロフィール画像から他のSNSアカウントを探されたりするケースもあります。

さらに、SNSで使用しているユーザー名を複数のサービスで共通にしていると、別のサービスのアカウントまで芋づる式に見つかる可能性があります。

ここで重要なのは、SNSそのものが危険なのではないという点です。

問題は、SNSで公開している情報と、過去に流出した情報が組み合わされることです。

たとえば、ダークウェブ上で発見されたメールアドレスを検索すると、同じメールアドレスを登録していたSNSアカウントが見つかることがあります。

そこから氏名や勤務先が判明し、さらに別の公開情報から住所や電話番号につながることもあります。

攻撃者にとっては、一つの情報から次の情報へ移動するための「手掛かり」があれば十分です。

住所・電話番号が加わると、なりすましの現実味が増す

氏名やSNSアカウントだけでは、本人になりすまして金融サービスを利用するのは難しいでしょう。

しかし、住所や電話番号などの情報が加わると状況は変わります。

現実の本人確認では、複数の情報を組み合わせて本人であることを確認する仕組みが一般的です。

そのため、攻撃者は本人確認で利用される可能性のある情報を集めようとします。

氏名、住所、生年月日、電話番号、メールアドレスなどが組み合わされると、本人に関する情報としての整合性が高まります。

さらに、過去の契約情報やアカウント情報などが流出していれば、攻撃者が利用できる材料は増えていきます。

もちろん、これらの情報を持っているだけで必ず本人になりすませるわけではありません。

金融機関やオンラインサービスでは、多要素認証や本人確認書類の確認、端末認証など、さまざまな対策が導入されています。

それでも、本人確認に利用される情報が攻撃者側に集まれば、ソーシャルエンジニアリングや不正アクセスなど、別の攻撃につながる可能性があります。

なりすました人物がローンを申請するケース

アイデンティティ盗難が深刻なのは、最終的に金銭的な被害につながる可能性があるためです。

代表的なものの一つが、金融サービスなどへの不正な申し込みです。

攻撃者が入手した個人情報を利用し、本人になりすましてローンやクレジットカードなどの申し込みを試みるケースが考えられます。

攻撃者は本人の氏名や住所などを使い、本人であるかのように振る舞います。

ここで過去の漏えい情報が利用されることがあります。

本人しか知り得ないと思われていた情報が、過去のデータ流出によってすでに第三者の手に渡っていれば、それを利用して本人確認を突破しようとすることが可能になるからです。

ただし、金融機関などの本人確認は年々強化されており、単純に氏名や住所を知っているだけで契約できるわけではありません。

だからこそ、アイデンティティ盗難は「一度にすべてを突破する攻撃」と考えるより、複数の情報を組み合わせて本人になりすますための準備が行われるものと考えたほうが実態に近いでしょう。

「本人になりすます」のは金融詐欺だけではない

アイデンティティ盗難による被害は、ローンやクレジットカードの不正利用だけに限定されません。

オンラインサービスへの不正ログイン、携帯電話契約の不正利用、商品の購入、アカウントの乗っ取り、知人を狙った詐欺など、さまざまな形に発展する可能性があります。

特に注意したいのが、本人のSNSアカウントを直接乗っ取るケースです。

攻撃者が本人のアカウントを利用できるようになると、その人物の友人や取引先に対して本人を装ったメッセージを送ることができます。

「急な支払いが必要になった」「このサイトから購入してほしい」といった形で金銭や認証情報を要求すれば、被害は本人だけでなく、その周囲にも広がります。

企業にとっても他人事ではありません。

従業員のSNSやメールアカウントが乗っ取られれば、取引先を狙った詐欺や、企業を装ったフィッシングなどに悪用される可能性があります。

企業から見ると「個人情報漏えい」の先にある問題

企業のセキュリティ対策では、個人情報を漏えいさせないことが重要です。

しかし、それだけでは十分ではありません。

一度漏えいした情報が、その後どこで利用されているのかという視点も必要になっています。

たとえば、自社サービスからメールアドレスが流出した場合、そのメールアドレスが後日ダークウェブ上で販売されていないかを確認することが考えられます。

さらに、パスワードなどの認証情報が漏えいしていないか、同じメールアドレスに関連する情報が他の漏えいデータに存在しないかを確認することで、リスクをより具体的に把握できます。

企業にとって重要なのは、「漏えいしたか、していないか」の二択で考えないことです。

一度漏えいした情報は、回収できない場合があります。

だからこそ、その情報がダークウェブなどでどのように流通しているのかを継続的に確認し、被害が拡大する前に対応するという考え方が重要になります。

アイデンティティ盗難を防ぐために企業が考えるべきこと

アイデンティティ盗難への対策は、特別なセキュリティ製品を導入するだけで完結するものではありません。

まず重要なのは、個人情報や認証情報を必要以上に保有しないことです。

企業が保有する情報が多ければ多いほど、万一侵害された際の影響も大きくなります。

また、パスワードの使い回しを防ぎ、多要素認証を導入することも基本的な対策になります。

特に重要なのが、漏えいした認証情報への対応です。

パスワードが漏えいしていることを把握できたのであれば、対象アカウントのパスワード変更やセッションの無効化など、速やかな対応につなげられます。

加えて、従業員に対してSNSで公開する情報について注意喚起することも有効です。

勤務先、役職、連絡先、日常の行動など、単体では問題がないように見える情報でも、複数の情報と組み合わせられることで、攻撃者にとって価値のある情報になる可能性があります。

そしてもう一つ、企業が検討したいのが「漏えい後」の監視です。

ダークウェブ監視で「漏れた後」を把握する

従来のセキュリティ対策では、社内ネットワークへの侵入を防ぐことが中心でした。

しかし、現在は企業の外側にある情報にも目を向ける必要があります。

ダークウェブ監視は、そのための手段の一つです。

自社のドメインやメールアドレス、従業員アカウントなどに関連する情報が、ダークウェブや漏えい情報の中に出現していないかを継続的に確認します。

重要なのは、監視そのものを目的にしないことです。

「漏えい情報を発見した」という通知を受け取るだけでは、セキュリティ対策として十分とはいえません。

発見した情報について、どのアカウントが影響を受けているのか、認証情報の変更が必要なのか、対象となる従業員やシステムはどこなのかを判断し、実際の対応につなげることが重要です。

アイデンティティ盗難は、ある日突然発生する一つの事件とは限りません。

過去に流出したメールアドレス、古いパスワード、SNS上の公開情報、住所や電話番号など、さまざまな「点」が少しずつ結び付けられ、最終的になりすましへと発展することがあります。

その意味では、企業の情報セキュリティにおいて「情報を守る」だけでなく、「外部に出てしまった情報を把握する」という考え方が重要になっています。

まとめ

アイデンティティ盗難は、単純な個人情報の盗難とは異なります。

氏名やメールアドレス、電話番号、住所、SNSアカウント、過去の認証情報などが複数組み合わされることで、攻撃者が一人の人物について詳細な情報を把握し、本人になりすますための材料がそろっていきます。

特にダークウェブでは、さまざまな場所から流出した情報が売買・共有されているため、企業が把握していなかった過去の漏えい情報が、現在の攻撃に利用される可能性もあります。

企業が取り組むべきなのは、情報漏えいを防ぐための対策だけではありません。

万一情報が外部へ流出した場合に備え、「何が漏れたのか」「どこで流通しているのか」「現在のアカウントや従業員にどのような影響があるのか」を継続的に確認することが重要です。

そのための有効なアプローチの一つが、ダークウェブ監視です。

自社に関連するメールアドレスや認証情報などがダークウェブ上に出現していないかを継続的に監視することで、通常の社内セキュリティ監視だけでは見えにくい「漏えい後のリスク」を把握できます。

アイデンティティ盗難を防ぐためには、攻撃者が本人になりすます段階まで進んでから対処するのではなく、その前段階にある「情報が集められている兆候」を早期に把握することが重要です。

自社の情報がどこまで外部に出ているのかを知ることは、これからの情報セキュリティ対策において、重要な第一歩になるでしょう。