欧州のデジタルID：あなたのデータはハッキングにさらされているのか？

欧州のデジタルIDウォレットは、出回る本人確認書類のコピーを減らすことを目指している。しかし、複数の認証情報をスマートフォンに保存することには、セキュリティ上の懸念も伴う。ハッキング、フィッシング、追跡について、どのような保護策が予定され、どのような脆弱性が残るのだろうか？

スマートフォンにまとめられる複数の認証情報

IDカード、運転免許証、卒業証書：欧州ウォレットは、共有する情報を最小限に抑えながら、これらの認証情報をスマートフォンから提示できるようにすることを目指している。しかし、これらをまとめることで、ハッキングのリスクへの懸念が高まっている。

eIDAS 2規則は、各加盟国に2026年末までにウォレットを提供するよう求めている。フランスではFrance Identitéを基盤に開発されるが、デジタル省庁間総局（DINUM）は「2027年のいずれかの時期」に利用可能になるとしている。

このシステムでは、すべての市民の認証情報を含む単一の欧州データベースを作成する予定はない。証明書はユーザーのウォレットに保存され、元となる行政データベースは削除されない。

現在、口座の開設や車両のレンタルでは、本人確認書類のコピーの提出を求められることが多い。書類を保管する組織は、それぞれ新たな攻撃対象となり、データが詐欺に使われるおそれがある。

📰 治安悪化、暗号資産への攻撃、公共サービスの低下：フランス国民は納税を拒むのか？

2月、DGFiPはFICOBAへの不正アクセスを公表した。約120万口座の名義人について、銀行口座情報、本人確認情報、住所が影響を受けた可能性がある。ウォレットがこのデータベースをなくすわけではないため、それ自体で今回の侵入を防げたわけではない。

むしろ、その価値は必要な情報だけを共有できることにある。成人であることを証明するには、ユーザーは生年月日の全体を明かさず、18歳以上であることを示す証明書を提示できる。受け取り側でデータ侵害が発生しても、書類の全コピーを渡した場合より、さらされるデータは少なくなる。

認証情報が一元化されると、そのセキュリティが極めて重要になる。攻撃者がウォレットの保護を突破して情報にアクセスできれば、情報を組み合わせることで、なりすましや標的型詐欺が容易になる可能性がある。ただし、これは、データが必ず現在よりもさらされやすくなるという意味ではない。

アクセスは認証の仕組みによって保護されなければならない。暗号鍵は、スマートフォンに組み込まれた、または外部インフラに依存する認証済みのセキュアデバイスに保管される必要がある。

詐欺師がユーザーを説得して、安全な手順の外で情報を共有させた場合、フィッシングも脅威であり続ける。ウォレットを利用するサービスは登録し、要求するデータを申告しなければならない。ユーザーも、共有を承認する前に受取人を確認できる必要がある。

最後に、一部の識別子や署名が複数回の提示を結び付け、利用状況を追跡するために使われる可能性がある。したがって、保護の度合いは、攻撃への耐性だけでなく、開示される情報や、それを照合できる可能性にも左右される。

出典：The Blockchain for Good Association、Impots.gouv