ニューヨークのマディソン・スクエア・ガーデン（MSG）から、45GBを超える社内データが盗み出され、6月16日にオンラインで公開された。バスケットボールのニックスやアイスホッケーのレンジャースの本拠地として知られる会場で、報じたのは米テックメディアの404 Mediaだ。盗まれたデータの中身には、来場者を監視する顔認識システムに関する記録に加えて、そのシステムを公に批判してきた活動家をまとめた文書まで含まれていた。
公開したのはShinyHuntersと名乗るサイバー犯罪グループで、これまでにも数多くの侵害に関わってきたとされる。同グループの説明によれば、侵入があったのは6月5日。6月15日を期限とする身代金の要求に会場側が応じなかったため、翌16日にデータを公開したという。時期はニックスがNBAファイナルでスパーズを4勝1敗で下した直後で、会場とオーナーのジェームズ・ドーランに世間の視線が集まっていたタイミングと重なった。
電話一本から始まった侵入
侵入の手口として404 Mediaが報じたのは、技術的な脆弱性を突いたものではなく、人を狙った古典的な方法だった。ハッカーは会場の下位の従業員に電話をかけ、相手をだましてシステムへのアクセスを手に入れたという。ハッカー自身の証言と、盗まれたデータそのものの分析の両方からこの経緯が裏づけられている。
電話越しに相手を信用させて情報や操作を引き出すこの手口は「ヴィッシング（vishing）」と呼ばれる。メールや偽のログインページを使うフィッシングは以前から一般的だが、音声通話を使うヴィッシングが目立つようになったのは比較的最近で、英語を母語とする若いハッカー集団が深刻な脅威になってきたことと関係している。
404 Mediaは45GBのデータ一式をダウンロードし、その中に特定の従業員のOneDriveの中身が丸ごと含まれているのを見つけた。「Personal」というフォルダには本人のW-2（源泉徴収に相当する税務書類）が入っており、氏名などの個人情報から侵入の起点になった人物が特定できたとしている。404 Mediaは本人のプライバシーに配慮して名前は伏せているが、ShinyHuntersのメンバーに侵入経路を尋ねたところ、同じ人物の名前が返ってきたという。
流出データに含まれていたもの
公開されたデータには、いわゆる「タレント」に関する情報が含まれていた。ニックスの元選手やコーチのほか、著名人について「住所」「有名になった理由」「出演に要する費用」といった項目が並び、本人や代理人の連絡先が書かれている場合もあった。
気になるのは、著名人を分類するタグの存在だ。集団訴訟の申立書によれば、俳優のベン・スティラーは「低リスク」、ラッパーのA Boogie wit da Hoodieは「高リスク」と記されていたという。ただし、この分類の基準を説明した資料は流出ファイルの中には見当たらなかった。会場側がどんな根拠で人を「リスク」で色分けしていたのかは、はっきりしないままだ。
顧客からのメールも流出しており、その中には自分がMSGの顔認識カメラに誤認されるのではないかと不安を訴えた来場者のメッセージも混じっていた。会場側が、自らの監視のあり方に寄せられた苦情を、生体情報そのものと並べて保管していたことがうかがえる。
監視する側が作っていた「批判者リスト」
一連の報道の中でとりわけ注目されたのが、「Facial Recognition Activists.docx」というファイル名のWord文書だ。ここには、MSGの顔認識技術を公に批判してきた活動家たちの名前が、彼らのツイートやコメントと一緒にまとめられていた。しかも社内の他の従業員がアクセスできる状態に置かれていたと404 Mediaは報じている。
この文書に名前が載っていた一人が、電子フロンティア財団（EFF）でプライバシー訴訟部門を率いるアダム・シュワルツ氏だ。同氏は404 Mediaに対し、データ漏洩が起きた今こそ、MSGは来場者への生体認証による監視をやめる好機だという趣旨のコメントを寄せている。監視技術を導入するだけでなく、それに異を唱える人物まで個別に追跡していた——というのが、この文書が浮かび上がらせた構図だった。
監視データという格好の標的
今回の一件は、MSGだけの問題では終わらない話を含んでいる。来場者を見張るために監視技術へ多額を投じる組織は、それと引き換えに、ShinyHuntersのような集団が狙いたくなる価値の高いデータの山を自らの手で築いていることになる。集めた生体情報や監視記録が、そっくりそのまま外へ持ち出される標的になりうるという皮肉だ。
なお、ハッカーが主張する「2600万件」という記録の規模は独立した形では確認が取れておらず、流出した生体データがどこまで及ぶのかも、調査が続く現時点でははっきりしていない。データ公開の翌日には連邦裁判所に集団訴訟が起こされており、会場の顔認識運用をめぐる議論は、事件をきっかけにあらためて熱を帯びそうだ。
元記事：Hackers Publish Knicks and Madison Square Garden Data Online（404 Media） ／ How Hackers Broke into Madison Square Garden（404 Media） ／ Madison Square Garden Made Dossier on Activists Who Opposed Facial Recognition（404 Media）
コメント