ニュース 2021.08.25 IT先進国エストニアで、国民の20%の顔写真が行政システムからダウンロードされる

そのエストニアの国家情報システム局が、7月28日（現地時間）、国民が行政手続きに利用する国民電子IDカード「e-ID」に紐づいた顔写真データが、大量に不正ダウンロードされたと発表した。

同国の人口は約133万人で、ダウンロードされた顔写真データは、28万6438枚。国民の約20%に相当する数だった。原因は、国家情報システム局の身分証明データベースの脆弱性が悪用されたためだったという。

容疑者は、7月23日、同国の首都タリンで逮捕されている。

顔写真は、国民IDと氏名のみで開示申請が可能だが、ダウンロードするには、5段階の審査を通過する必要がある。このシステムに脆弱性が在り、利用されたという。

但し、行政システムへのアクセスには、さらに情報が必要なため、なりすましなどの犯罪は難しい。逮捕後の捜査でも、ダウンロードされた写真が悪用されたり、外部に送信された形跡はないことが分かっており、結果的に直接の被害はなかった。

今回は、容疑者が単独犯であったこと、エストニア国内で活動しており、IPアドレスからの追跡もできたことなどが重なり、迅速な逮捕が可能だったという。

現在は、システム上の脆弱性は修正済みとなっており、大きな被害を受けることなく脆弱性を修正して収束した。

【関連リンク】

・約30万人のIDカードの顔写真データが流出（エストニア）（JETRO）
https://www.jetro.go.jp/biznews/2021/08/248233b34ae2abda.html

TEXT：セキュリティ通信 編集部
PHOTO：iStock