主なポイント

✓ DHSの監査によると、TSAはベンダーのアクセスを適切に監視しておらず、乗客の個人情報が不適切に扱われるリスクがあるとされています。
✓ TSAは、CAT-2機器によって処理された情報は迅速に削除されると主張していますが、ベンダーによる情報抽出の監視が不十分であることが問題視されています。

社会的影響

! 乗客の個人情報が不適切に扱われるリスクが高まることで、公共の信頼が損なわれる可能性があります。
! 生体認証技術の導入が進む中で、プライバシー保護の重要性が一層高まることが予想されます。

編集長の意見

今回のDHS監査の結果は、TSAの生体認証システムにおけるベンダー管理の重要性を再認識させるものです。特に、個人情報の取り扱いに関する明確なポリシーと監視体制が欠如していることは、今後のセキュリティ対策において重大な課題となります。生体認証技術は、効率的な身分確認を可能にする一方で、個人情報の漏洩や不正利用のリスクを伴います。したがって、TSAはベンダーに対する監視を強化し、情報の抽出や保持に関する透明性を確保する必要があります。また、乗客への通知義務を果たすことで、信頼性を高めることが求められます。今後、TSAは監査官の提言に基づき、より強固なデータ管理体制を構築し、個人情報保護に対する社会的期待に応える必要があります。生体認証技術の進展に伴い、プライバシー保護の重要性が増す中で、TSAはその責任を果たすための具体的な行動を取るべきです。

解説

DHS監察、TSAのベンダーによる乗客ID画像アクセスの監視不備を指摘

今日の深掘りポイント

ベンダーの「正当な保守」を口実にしたデータ抽出が、消去証明・追跡性・説明責任のすべてを壊し、ゼロトラストの根幹を揺るがす設計上の欠陥を露呈した事件です。
TSAのCAT-2は「通常は保持しない」設計でも、ベンダーのトラブルシューティング経路が実質的な保持と同義の「抽出面」を形成していた点が本質です。
画像という高価値PIIが関与するため、アイデンティティ詐取だけでなく、生成AIによる偽造ID作成・顔照合回避の学習データ化といった二次利用の攻撃面も拡大します。
監督・ログ・削除確認の欠落は「ガバナンスの三重欠損」です。契約・技術・運用の三位一体で、特権セッションの可観測性とデータ抽出をゼロに近づける設計が必要です。
報道の確度は高く、発生確率も高めに見積もるべき事案です。優先度は中〜高で、短期の是正措置と中期のアーキテクチャ刷新を同時に走らせるべきです。

はじめに

米DHSの監察官が、TSAの空港チェックポイントで使われる生体認証支援機器（CAT-2）に関し、ベンダーが運用中のトラブルシューティングやアップグレード時に乗客の運転免許証やパスポートの画像へアクセス・抽出でき、しかもそれを監視・追跡・削除確認できていなかったと指摘しました。TSAは平常運用では機器上にデータ保持しないと説明していますが、監察はベンダー経由のアクセス経路が統制外だった点を重大な弱点と結論づけています。

CAT-2は既に多数の空港に展開され、本人確認の迅速化と偽造防止を担う要です。提供情報によれば、2025年4月時点で250以上の空港に2,100台超が稼働し、400以上の空港への拡大が計画されています。規模の経済が働く領域ほど、単一点のガバナンス不備が広域に波及しやすいことを、私たちは過去のサプライチェーン事案から何度も学んできました。本件もその延長線上にあると捉えるべきです。

出典として、DHS監察の指摘を伝える報道が公開されています。詳細な一次報告書へのリンクは報道本文を参照ください。

参考: Biometric Update: DHS watchdog finds TSA lacked oversight of vendor access to passenger ID images

深掘り詳細

事実（確認できていること）

ベンダーはトラブルシューティングやシステムアップグレードの過程で、乗客の運転免許証やパスポートの画像にアクセスし、抽出可能だったとされています。監察はこの挙動を可能にする統制の欠落を「重大な弱点」と表現しています。
TSAはCAT-2で処理した情報は迅速に削除され、通常のチェックポイント運用では保持されない設計だと強調しています。一方で、監察はベンダー経由での抽出が監視されず、抽出履歴が追跡不能で、適切な削除確認もできなかった点を問題視しています。
提供情報では、CAT-2は旅行者のIDスキャン、フライト情報取得、リアルタイムな顔照合を行う機器で、展開数は2,100台超、250以上の空港に配置され、さらに400以上の空港への展開が予定されています。

出典: Biometric Updateの報道

インサイト（編集部の視点）

「保持しない設計」と「抽出可能な運用」は両立しないです。たとえ機器内で即時消去していても、保守経路が画像を複製できるなら、実態としての保持は発生します。これはデータ最小化の原則違反を設計段階で内包していた可能性があります。
監視・追跡・削除確認の欠落は、それぞれ独立の不備ではなく、ひとつの設計上の反パターン「不可視な特権セッション」に収束します。可観測性ゼロの運用は、善意の保守でも悪意の抽出でも同じリスクを生みます。
画像というハイエントロピーPIIは、単なる氏名・生年月日よりも攻撃者の二次利用価値が高いです。生成AIの普及で、偽造IDや顔照合回避の学習素材としての価値が上がるため、漏えい1件あたりのダメージ期待値が逓増します。
ベンダーのアクセスが「必要時に広すぎる」ことは、ゼロトラストの「最小権限・時間制限・継続検証」に反します。特権アクセスのオンデマンド化と、セッション記録の改ざん不可能性は、この種の機器でも必須の基盤要件です。
提供されたメトリクスからは、信頼性と発生確率が高めで、短中期の運用・契約・アーキテクチャにわたる同時対応が要るタイプの案件と読み解けます。優先順位づけでは、直ちに抑止可能な「抽出面の縮退」を先に、次いで「不可視な保守経路の観測化」と「削除証明の自動化」を走らせるのが妥当です。

脅威シナリオと影響

以下は監察指摘を前提にした仮説ベースのシナリオです。具体的なTTPはMITRE ATT&CKに準拠して整理します。

シナリオ1：ベンダー内部不正によるID画像の持ち出し
- 仮説: ベンダー従業員が保守セッション中に画像を複製し外部媒体や個人ストレージに転送します。
- 主なATT&CK:
  - T1078 Valid Accounts（正規アカウントの悪用）
  - T1005 Data from Local System（ローカルからのデータ取得）
  - T1113 Screen Capture（スクリーンキャプチャ）
  - T1041 Exfiltration Over C2 Channel / T1567 Exfiltration to Cloud Storage（外部への流出）
  - T1070.004 File Deletion（ログや痕跡の削除）
- 影響: 画像付き本人確認情報の闇市場流通、合成ID・口座開設詐欺の加速、本人確認システム全体への信頼失墜です。
シナリオ2：ベンダー環境の侵害を踏み台にした遠隔保守の乱用
- 仮説: 攻撃者がベンダーのヘルプデスク/リモート支援基盤を侵害し、正規の保守チャネルで広域に画像抽出を自動化します。
- 主なATT&CK:
  - T1199 Trusted Relationship（信頼関係の悪用）
  - T1021 Remote Services（RDP/リモート支援の横展開）
  - T1119 Automated Collection（自動収集）
  - T1567 Exfiltration to Cloud Storage / T1048 Exfiltration Over Alternative Protocol（静かで持続的な流出）
  - T1562.001 Disable Security Tools（保護機能の無効化）
- 影響: 複数空港・多数端末からの一斉流出により、単発漏えいでは生じない規模の損害と規制対応コストが発生します。
シナリオ3：アップグレード・パッケージの改ざんによる隠れたデータサイフォン
- 仮説: 供給されたアップデートに画像バッファを収集するコードが混入し、正常動作に見せかけて送信します。
- 主なATT&CK:
  - T1195 Supply Chain Compromise（サプライチェーン妥協）
  - T1059 Command and Scripting Interpreter（隠れたスクリプト実行）
  - T1105 Ingress Tool Transfer（補助モジュール転送）
  - T1041/T1567（秘匿的な外送）
- 影響: 正規アップデートの信頼が損なわれ、更新停止による運用リスクと、全面的な検証・回収コストが発生します。

総じて、技術的影響（データ流出・業務停止）に加え、社会的信頼の毀損が長期的コストを押し上げます。空港・国境といった公共インフラ領域では、可用性優先の運用文化が保守チャネルの統制緩みを招きがちです。この文化的ドリフトを是正するのが経営の責務です。

参考: MITRE ATT&CKの技術体系はattack.mitre.orgを参照ください。

セキュリティ担当者のアクション

本件は空港に限らず、KYC端末・eKYC、来訪者管理、金融店舗の本人確認機器など「画像付きIDを扱う縁辺デバイス＋ベンダー保守」のすべてに通底します。以下は即応から構造改革までの実務アクションです。

即時の抑止（0〜30日）
- ベンダーの保守経路を一時的にJIT化し、事前承認ワークフロー＋時間制限＋端末限定での接続に切り替えます。
- 特権セッションの100%録画・コマンド監査・ファイル転送監査を有効化し、改ざん不可能なWORMストレージへ集約します。
- 保守端末からの外部送信先（クラウド/個人ストレージ/匿名化アップロード）のEgress制御を厳格化します（DLP＋CASBでPDF417/MRZ/顔画像のシグネチャ検知を併用します）。
- 「実環境でのPIIを含むデバッグ取得の全面禁止」を暫定ポリシーとして通達し、代替として合成データ・疑似ログの提供体制を用意します。
契約・ガバナンス（並行着手）
- データ処理契約（DPA）とSLAに「データ抽出の禁止」「最小化の原則」「削除証明（Cryptographic Erasure含む）」「監査権限（リモート支援基盤・更新パイプラインまで）」を明記します。
- 重大事案の通知義務・タイムライン・証跡提供形式（セッション録画、コマンド履歴、ハッシュ付き削除証明）を規定します。
- サプライチェーン統制としてSBOM/SLSAレベルの要求と、アップデート署名・再現ビルド・サードパーティ検証を義務化します。
技術アーキテクチャ（中期）
- ゼロトラストPAM（JIT/JEA）＋mTLSデバイス証明＋短期資格情報（分単位）による「保守の最小権限・最小時間・継続検証」を標準化します。
- デバッグ/ダンプ機能を本番で無効化し、必要時のみ「承認付き一時アンロック＋自動再ロック＋自動消去（メモリスクラブ含む）」を強制します。
- 「削除の証明」を仕組み化します。機器側で削除イベントの署名付き証跡を発行し、集中管理側で突合・改ざん検知できるようにします。
- ネットワークとアプリの両レイヤで「画像抽出の不可観測性」を解消します。例：ファイルI/Oフックのイベント化、画像バッファへのアクセスを強制プロキシ経由に限定し監査可能にします。
検知・対応（SOC/IR）
- 検知ルールの例（現場での適用は製品・環境依存のため要調整です）
  - ローカル: 画像/IDテンプレート格納ディレクトリへの異常なファイルI/O激増（T1005/1119示唆）
  - EDR: リモート支援ツールからの外部接続先追加、ブラウザ経由のクラウドストレージ POST 多発（T1567）
  - ネットワーク: PDF417/MRZパターンを含むデータの外送（DLP）
  - 監査: 根拠なしのデバッグモード起動、セッション録画停止の試行（T1562）
- インシデント・プレイブックを用意します。ベンダー特権キーの即時失効、保守基盤の分離、セッション証跡の確保、端末側キャッシュ/一時領域の整合性検証までを30分単位の手順で定義します。
成果を測るメトリクス（運用経営向け）
- 特権セッションの記録化率（Recorded/Total）と承認なしセッション発生率（要0件）
- データ抽出試行イベント率（抽出アラート/総セッション）と是正までのMTTR
- ベンダー特権の平均付与時間（短いほど良い）と即時失効に要する時間
- 削除証明の取得率と検証失敗率（0%を維持）
  これらを四半期レビューに載せ、契約ペナルティや改善計画と連動させます。

最後に、この種の問題は「不心得な個人」ではなく「観測できない設計」が生みます。人に頼る運用から、観測と自動抑止が前提のアーキテクチャへと、私たちは作り替えていく必要があります。保守は止められません。だからこそ、保守を最小化し、見える化し、消せるようにするのです。

参考情報

DHS監察の指摘を伝える報道（Biometric Update）: https://www.biometricupdate.com/202609/dhs-watchdog-finds-tsa-lacked-oversight-of-vendor-access-to-passenger-id-images
MITRE ATT&CK（技術リファレンス）: https://attack.mitre.org/

背景情報

i CAT-2機器は、旅行者の身分証明書をスキャンし、フライト情報を取得し、リアルタイムで旅行者の写真と身分証明書の写真を比較するために使用されます。これにより、迅速かつ正確な身分確認が可能となりますが、ベンダーによるアクセス管理が不十分であることが問題となっています。
i DHSの監査官は、TSAがベンダーのアクセスを適切に管理していないことが、個人情報の保持や露出のリスクを高める要因であると指摘しています。特に、トラブルシューティングやシステムの改善作業中に情報が抽出されることが問題視されています。

メトリクス