Maileva(ラ・ポスト・グループ傘下の企業)から、2200万人の氏名と住所が盗まれた。税務データや、すでにハッキングされた暗号資産企業の顧客ファイルと組み合わされると、暗号資産保有者の特定、さらには自宅の特定に利用されるおそれがある。
盗まれた2200万人の住所
Maileva はラ・ポスト・グループのデジタル子会社 Docaposte のブランドで、2200万人の氏名、名、郵便住所が盗まれた。この事業者は、医療、社会住宅、公共サービスの分野を中心に、数千の企業や機関の郵便物を印刷・発送している。
対象となったファイルには、郵便物の参照件数が約3900万件含まれており、重複を除くと2200万人に相当する。影響を受けた組織によると、送信者のメールアドレスやファイル名も流出したという。
FrenchBreaches が引用した社内文書によると、請求ツールから顧客企業の IBAN や請求額も閲覧可能になっていた。ただし経営陣は、個人の銀行口座情報は対象に含まれていないと主張している。
一部のケースではさらに別の情報も閲覧可能だった。フォッシュ病院によると、請求番号、診療日、未払い額を含む督促状は閲覧された可能性があるが、患者の銀行口座情報は含まれていないという。ある社会住宅事業者は、一部の郵便物が10年前まで遡るものだったと報告している。
Maileva は9月23日にサービスを停止し、6日後に復旧させた。盗難の規模が確認されたのは、インシデントからほぼ2か月後だった。
流出データの突き合わせで標的化が容易になる
暗号資産保有者にとってのリスクは、盗まれた複数のデータベースが突き合わされることから生じる。住所から個人の所在を特定でき、他のファイルからは収入の手がかりが得られたり、暗号資産を保有していることが推測されたりすることもある。
今夏、税務総局(DGFiP)のシステムへの侵入により、67万8000人の個人と事業者に関する情報が閲覧・抽出された。これには、基準税務所得も含まれている。また、住所や不動産の面積を含む地籍データも閲覧された。
暗号資産企業からの流出では取引関係が明らかになり得るし、税務データからは収入の目安がわかり、郵便ファイルからは住所が特定され得る。こうした突き合わせは標的の選定に役立つ可能性があるが、暗号資産の保有状況がわかるわけではない。現時点では、Maileva のファイルを含む突き合わせは確認されていない。
郵便詐欺から身体的な襲撃のリスクまで
Ledger のデータ流出はこの危険性を示している。2020年には、ハードウェアウォレットメーカーの顧客約27万2000人の詳細な連絡先が漏えいした。その後、詐欺師が偽の機器をユーザーに送りつけ、資金へのアクセスに必要なリカバリーフレーズ(資金を取り戻すための単語の並び)を取得しようとした。
リスクは詐欺にとどまらず、暗号資産に関わる人々を狙った襲撃も起きており、個人情報を守ることの重要性を示している。ただし、Maileva の流出と誘拐事件との関連は確認されていない。
不審な郵便物を受け取った場合は、通常使用している連絡先を通じて発信元の機関に問い合わせるのが望ましい。郵便物やメッセージで指示された相手にリカバリーフレーズを伝えたり、そうしたサイトに入力したりしてはならない。たとえ緊急のセキュリティ手続きだと説明されていてもである。