今回の事件の詳細

今回の事件の詳解

KYCとは何か？

KYC（Know Your Customer）は、金融機関やサービス提供者が顧客の身元を確認し、マネーロンダリングや詐欺などの不正行為を防止するための手続きです。具体的には、顧客からパスポートや運転免許証などの公的な身分証明書を提示させ、本人確認を行います。

身分証明書など本人確認情報の収集方法

攻撃者は以下の方法で本物の身分証明書や顔写真を収集しています：

• 報酬による提供: 個人に報酬を支払い、自発的に身分証明書や生体情報を提供させる手法が確認されています。

• データ漏洩の利用: 過去のデータ漏洩事件から流出した個人情報を収集し、悪用する

• フィッシング詐欺: 偽のウェブサイトやメールを通じて、ユーザーから直接身分証明書や生体情報を騙し取る手法も一般的です。

今回の事件の手口

攻撃者は、収集した本物の身分証明書と対応する顔写真を用いて、以下の手法でKYC手続きを回避しています：

1. 低度な手法: 印刷された写真を使用して、本人確認を欺く試み。

2. 中程度の手法: リアルタイムの顔交換やディープフェイクソフトウェアを使用し、ライブネス検出（生体認証の一環として行われる、実在する人物かどうかを確認する技術）を回避。

3. 高度な手法: カスタムAIモデルや3Dモデリング、リアルタイムアニメーションを活用し、より精巧に本人になりすます。

これらの手法により、攻撃者は従来の本人確認システムを突破し、不正なアカウント作成や取引を可能にしています。

ダークウェブでの販売方法

収集された本人確認情報は、ダークウェブ

• 完全な身元パッケージ: 本物の身分証明書と対応する生体情報（顔写真や動画）をセットにして販売。これにより、購入者は容易に他人になりすますことが可能となります。

• 価格設定: 情報の新鮮さや質、提供される追加サービス（例：カスタムAIモデルの作成）に応じて価格が変動します。

• 販売プラットフォーム: ダークウェブ上の匿名性の高いマーケットプレイスやフォーラムを通じて取引が行われ、仮想通貨での支払いが一般的です。

今後の攻撃や犯罪への発展可能性

今回の事件も含め、このような本人確認情報の不正取引は、今後どのような犯罪活動に発展していくのかを考えました。

• 金融詐欺: 偽の身元で銀行口座やクレジットカードを開設し、不正な取引や資金洗浄に利用。

• オンラインサービスの悪用: 他人の身元で各種サービスに登録し、詐欺行為や違法なコンテンツの拡散に使用。

• 国家安全保障への脅威: 偽の身元での活動がテロリズムやスパイ活動に利用されるリスク。

• 社会的信用の侵害: 無関係な個人の身元が犯罪に利用されることで、その人の社会的信用が損なわれる可能性。

金銭による参加スキームとは、攻撃者が報酬を提供することで、個人が自発的に自分の身分証明書や顔写真などの個人情報を提供する仕組みのことです。このスキームは、個人情報の収集手段として広く用いられています。

---

金銭による参加スキームの特徴

さて、今回問題になっている、この個人情報を提供する仕組みがどうやって構築されたのか？そのナラティブを見ていきます。

1. 動機付けとしての報酬

   • 攻撃者は金銭的なインセンティブを提示し、対象者が自ら個人情報を提供するよう促します。
   • 報酬の金額は提供される情報の種類や質に応じて変動します。例えば、高品質な身分証明書やリアルタイムで撮影された顔写真には高額な報酬が支払われることがあります。

2. ターゲット層

   • 主に経済的に困窮している人々や報酬に対して抵抗が少ない人々がターゲットになります。
   • 特定の地域や社会的に弱い立場にある個人が標的となることが多いです。

3. 収集される情報

   • 身分証明書: パスポート、運転免許証、国民IDカードなど。
   • 顔写真・動画: ライブネス検出を突破するためのリアルタイム動画や高解像度の顔写真。
   • その他の情報: 住所、電話番号、銀行口座情報なども求められる場合があります。

具体的な仕組みと手法

1. オンラインプラットフォームを利用

   • 攻撃者はソーシャルメディアや匿名の掲示板を利用して「簡単に稼げる」といった広告を出します。
   • 例: 「5分で5,000円稼げる！簡単な身分確認だけ！」といった内容で参加者を誘引します。

2. 参加手順

   • 提供されたリンクやフォームを通じて、自分の身分証明書や顔写真をアップロードします。
   • 必要に応じて、特定の動作（例: 首を傾ける、笑顔を作る）を含むリアルタイムの動画を撮影するよう求められます。

3. 支払い方法

   • 提供された情報に対して仮想通貨（例: ビットコイン）やプリペイドカードで報酬が支払われます。これにより、攻撃者の匿名性が確保されます。

このスキームの影響

1. 個人情報の悪用

   • 提供された情報はKYC手続きを突破するために使用され、不正な口座開設や資金洗浄に利用されます。
   • 被害者の情報がダークウェブ上で再販売され、さらなる犯罪に使われるリスクがあります。

2. 社会的影響

   • 被害者が犯罪に巻き込まれる可能性がある一方で、収集された情報が詐欺やスパイ活動、テロリズムなどの大規模犯罪に使われる可能性もあります。

3. 倫理的問題

   • 経済的困窮者を狙った搾取的な手法であるため、倫理的にも大きな問題があります。

対策

• 啓発活動: 簡単にお金を稼げるといった広告の危険性を周知する。お金配りさんのアカウントのようなものをフォローしない。
• プラットフォームの監視: SNSでの不審な広告を積極的に取り締まる。
• セキュリティ技術の向上: AIを用いた偽造情報の検出や、より高度なライブネス検出技術の導入。

金銭による参加スキームは、一見無害に見える手法で多くの人々を巻き込みますが、その結果として深刻な犯罪活動に発展する可能性が高いです。 特に日本ではお金配り系のPOSTが多いですが、これは本当にカモのリストを作り出すための手法ですので、絶対に相手にしないようにしてください。 他にも、攻撃者はうまく、ターゲット層にささるようなナラティブでうまく言い寄ってきますが、「身元確認」だけで、お金がもらえるようなものは、この世にない。を頭にいれてSNSを見るようにしてください。 明らかにおかしな広告やPOSTした人をとりしまるような動きもできればいいのですが、そういう政策はなさそうですね。