正確な情報だけで攻撃は成立する｜KYCデータ集中リスクの構造

差出人不明のメールに、自分の本名と正確な住所が書かれていたとしたら。それが2020年、実際にビットコイン保有者たちが受け取ったメールの内容だ。

2020年7月、ハードウェアウォレットメーカーのLedgerがサイバー攻撃を受け、約27万件の顧客データが外部に流出した。氏名・郵便住所・電話番号という本人確認情報が丸ごと出た。その直後から脅迫メールが届き始め、「あなたはビットコインを保有している。送金しなければ自宅に行く」という内容に、正確な住所が添えられていた。

攻撃を完成させるのは「正確さ」だ

「アカウントに不審なアクセスがありました」という定型文のフィッシングなら、受け取った側は冷静でいられる。しかし自分の正確な住所が書かれていたら、「本物だ」という確信が判断力を麻痺させる。

ソーシャルエンジニアリングの本質はここにある。嘘をつく必要はない。正確な情報を並べるだけで、相手の心理防衛は崩れる。攻撃者が用意するのは巧妙な話術ではなく、ターゲットに関する正確なプロファイルだ。そのプロファイルが、どこかのデータベースにまとまって存在していれば——それが攻撃の素材になる。

KYCが作る「完璧な標的プロファイル」

ここで問いたいのは、Ledgerだけが特殊だったのかという点だ。

取引所でビットコインを購入する際、多くの場合KYCが必要になる。本人確認書類を提出し、住所を登録し、入出金の履歴が蓄積される。これによって取引所のデータベースには、あなたの氏名・住所・電話番号・取引履歴が1箇所に集まる。

攻撃者の視点から見れば、これは完璧なプロファイルだ。Ledgerの流出では「氏名・住所・BTC購入の事実」が漏れた。取引所のデータベースには、それに加えて入出金のタイミング・頻度・金額の傾向まで含まれる。情報の質も量も上回る。

「信頼できる取引所を選べば大丈夫」という考え方は、問題の構造を見誤っている。どれほどセキュリティに投資した企業でも、人的ミスや未知の脆弱性はゼロにならない。集中したデータベースが存在する限り、それは攻撃の標的であり続ける。

流出した個人情報は消えない

Ledgerの流出から6年が経過した現在も、顧客データの一部はダークウェブ上で流通しているという報告がある。住所が変わっていない人にとっては、今も有効な攻撃リストだ。

これが個人情報流出の本質的な問題だ。パスワードと違い、氏名や住所は変更が難しい。メールアドレスは変えられても、「自宅を訪問する」という脅迫への有効な対処にはならない。データが一度流出すれば、そのリスクは数年から数十年単位で継続する。

取引所への登録も同じ構造を持つ。今は安全に見えても、数年後に流出が発覚した場合、過去に登録した情報が使われる。KYCの記録は取引所が存続する限り保持される。「昔登録したから大丈夫」は成立しない。

情報を渡さないことが最初の防衛線になる

セルフカストディの意義は、「秘密鍵を自分で持つ」という側面だけではない。

ハードウェアウォレットにビットコインを移すと、現在の保有動向が取引所側のデータベースから消える。管理権が自分に移るだけでなく、情報の集中も解消される。取引所に預け続けることは、出金できなくなるリスクを抱えるだけでなく、自分の個人情報と保有履歴が一つの標的データベースに集まり続けることを意味する。

攻撃者は手の込んだ技術を使わなくても、正確なデータさえあれば十分だ。そのデータを作り続けているのが、無防備なKYC登録と取引所への長期預け入れだとすれば——まず見直すべきは、自分の情報がどこに集まっているかだ。

自分のビットコインが今どこにあるか。その情報が誰のデータベースに入っているか。一度棚卸しをする価値がある。

※本記事は一般的な情報提供を目的としており、投資助言ではありません。