漏えいした免許証が「偽の自分」を生むことも…AIなりすましで企業に侵入する最悪シナリオ

企業へのサイバー攻撃が相次ぎ、氏名や住所だけでなく、運転免許証などの本人確認書類まで流出する事態が起きている。タイムズカーのケースでは、約660万件のアカウント情報が第三者に取得され、このうち約160万件で運転免許証などの本人確認書類画像が漏えいした。

しかし、たとえば銀行口座やクレジットカード情報の流出と異なり、顔写真や氏名、住所といった情報が具体的にどう悪用されるのか想像できない人も多いのでは。実はもっとも懸念される最悪のシナリオとして、漏えいした情報が、企業に入り込むための「偽の人格」として利用される可能性が考えられる。

個人情報が漏えいしたときの4つのポイント　名前や連絡先だけでも危険、免許証流出なら不正契約にも警戒

実は近年、各国が警戒しているのが、他人の身元を使って海外企業のリモートIT職に就く北朝鮮IT労働者。10月13日も米司法省が、北朝鮮IT労働者が米国人などを装って300社を超える企業で働き、1700万ドル以上の収益を得ていたことを報告。身元を盗用された人は68人に上った。

日本企業でも実在するエンジニアの名前や経歴を使った人物が、国内IT企業のオンライン面談に現れたというケースが確認されており、注意喚起がなされている。

つまり、今回の場合も最悪の場合、こうしたなりすましに悪用される可能性は十分考えられるだろう。

偽人物が面接を通過して情報窃取などの可能性も

具体的にはまず、流出した氏名、住所、生年月日、メールアドレス、免許証の顔写真などが、過去に流出した別のデータやSNSの情報と結び付けられる。そこから本人の勤務先、職歴、技術分野、人間関係などが集められ、それをもとになりすまし情報が作成され、勝手に企業求人に応募される。

IT企業の場合、オンライン面接のみのカジュアル面談で合否判定されることも珍しくない。そのため、オンライン面接では公開された写真や短い動画をもとに、フェイススワップと呼ばれる別の人物に顔を入れ替える技術で顔を加工し、面談に臨まれる可能性が考えられる。

万が一、面談を突破されてしまった場合、偽人物は被害者の名義で企業のメール、ソースコード、クラウド環境などにアクセスできる。そこで情報窃取などの不正行為が起きれば、身に覚えのない企業から連絡を受けたり、勤務先への照会が行われたり、捜査や社内調査で事情説明を求められたりする恐れがある。

こうした事態に対し、個人にできる対策は限られるが、たとえば定期的にSNSや求人サービスを巡回して作った記憶のないアカウントがないかチェックしたり、GitHubなどの公開範囲を見直すことや身に覚えのない連絡や通知への警戒心を高めるといったことが考えられる。

なお、現時点で、タイムズカーから流出した情報が北朝鮮側に渡ったという事実や、AIによるなりすまし面談に使われたという事実は確認されておらず、流出の実行者や目的も明らかになっていないため、これは既に確認されている複数の犯罪手口をつないだ「最悪の仮説」となっている。

しかし、実在人物の身元を盗用したリモート就労が海外で大規模に摘発され、日本でもAIを使ったとみられるなりすまし面談が発生していることを考えると、こういった悪用がされる可能性は十分にある。不安を過度に膨らませるのではなく、自分の情報が別の場所で「もう一人の自分」を作るために使われていないか、継続的に確認することが大切だ。