親密なデータが流出すると何が起きるのか

ほとんどのデータ侵害は、不便という程度で済む。パスワードを変更し、クレジットカードの明細を数か月監視していれば、1年もしないうちに気にならなくなる。

親密なデータが関わる侵害は挙動が異なる。その違いは、一般的な意味での量や深刻さではない。取り返しのつかない事態が発生するかどうかだ。

なぜ異なるカテゴリなのか

パスワードは変更できる。カードは再発行できる。だが、誰かがパートナーに書いたメッセージを取り消すことはできず、特定の人物がどこかにアカウントを持っていたという事実も消せない。

存在そのものが被害の本体となることも多い。個人で使われていたサービスのデータ侵害の例では、1通のメッセージも読まれる前に、メールアドレスだけで深刻な害が生じるのに十分だった。2015年のAshley Madisonは典型的な例であり、個人に対する影響は深刻で、場合によっては取り返しのつかないものとなった。

第二の特性は永続性だ。流出したデータセットは消去されない。流通し、インデックス化され、他のデータセットと統合され、数年後に再び浮上する。

所有するすべての認証情報を変更することはできる。だが、記録が存在するという事実を変更することはできない。

統合の問題

単一のデータ侵害は、一見すると無害に見えることがある。メールアドレスとタイムスタンプだけだからだ。

リスクは組み合わせから生じる。ある流出データからのアドレス、別の流出データからの電話番号、さらに別のデータからの位置情報履歴が合わさることで、個々のデータには存在しなかったプロファイルが完成する。

だからこそ「メールアドレスだけだった」という気休めは意味をなさず、侵害発生後の対応よりもデータの最小化が重要になる。

実際にリスクを軽減するもの

意味のある対策は1つしかない。最初から読み取り可能な形でデータが存在しないことだ。

それ以外はすべて気休めの緩和策にすぎない。優れたセキュリティ対策は侵害の確率を下げるだけで、流出する内容自体は変えない。保持期限の制限は暴露される量を減らす。事業者が鍵を保持する暗号化は一部の攻撃には有効だが、稼働中のシステムに侵入した攻撃者には無力だ。

エンドツーエンド暗号化は、サーバーが完全に侵害されてもコンテンツが露出しない唯一の仕組みである。露出させるべき読み取り可能な形でのコンテンツがそこに存在しないからだ。

ただしメタデータは保護されない。攻撃者は、2つのアカウントが存在し、ペアリングされ、特定の日に入力があったことまで知ることになる。これは実際の露出ではあるが、被害の規模ははるかに小さい。

親密なサービスに対して問うべき質問

サーバーが完全に侵入された場合、攻撃者は何を読み取ることができるか？

アカウントが削除された後、データはどのくらいの期間保持されるか？

第三者のうち、データを受け取るのはどこか？

公開されたセキュリティ連絡先があり、脆弱性報告に対応してきた実績はあるか？

最初の質問は、設計思想の根幹を分けるものだ。それ以外は運用にすぎず、運用は経営陣次第で変わる。

Duoheartの立場

質問、回答、メッセージ、通話などのコンテンツは、端末上で生成された鍵を用いて端末側で暗号化され、当社に送信されることはない。当社のインフラが完全に侵害されても、それらが露出することはない。読み取り可能な形で保持していないからだ。

露出するのは、アカウントの存在、ペアリング関係、サブスクリプション情報、アクティビティ情報である。これを「問題ない」と言うつもりはない。

また当社は、収集可能なデータであっても収集量を抑えている。これはプライバシー対策として地味だが、最も効果的な方法の1つだ。収集しなかったデータが流出することはない。

ユーザーとして取るべき行動

この種のサービスにはメインのアドレスを使わないこと。利用しないアカウントはアプリの削除ではなく正式に退会・削除処理を行うこと。そしてあらゆるサービスに入力するデータについて、10年後もどこかにコピーが存在する可能性を想定しておくこと。ほとんどのサービスにおいて、それは単なる事実だからだ。