【イディオム】Out of wallet「秘密の質問」も危ない？内国歳入庁にハッカー

日本では今年金機構から大量の個人年金情報が流出したことが大きな話題になっているが、少し前に米国では税金を取り扱う内国歳入庁の「税金情報交付システム」が何者かに攻撃され10万件の情報が流出していたことが明らかになったことが話題になっている。

昨日米財務省税務管理監査官のラッセル・ジョージ氏が次のような議会証言を行った。

「Get Transcript online apprication～オンラインで納税情報を入手するシステム～は、納税者に簡単に納税情報を通知する道を開いたが、同時にハッカーや犯罪者たちに情報を搾取する機会を提供している」

米国では、銀行口座の開設等あらゆる場面で、納税情報の提供を求められるが、この情報を簡単に交付するシステムがGet Transcriptだ。情報請求時には、ソシアルセキュリティ番号、誕生日、住所などの情報に加えて本人でないと分らない「秘密の質問」に対する回答も求められる。

この「秘密の質問」をOut of walletという。直訳すれば「財布の外」という意味だが、日本語では「秘密の質問」で良いだろう。

より技術的にはknowledge-based authentication questions「知識ベースの認証質問」ということができる。

さて問題はこの「秘密の質問」に対する答えまで、一緒に流出してしまった可能性があることだ。「秘密の質問」の答えもコンピュータシステムの中に保持されているから、ハッカーや詐欺師がその答えを入手すれば完全に本人に「なりすます」ことは可能だ。

ニュースによると現在内国歳入庁は一時的にGet Transcriptシステムを停止しているとのことだ。

このニュースはあまり日本では広がっていないと思われるが、もし広がればマイナンバー制度の導入について更に議論を呼ぶ可能性は高いだろう。ところで私は政府が「マイナンバー制度は堅牢なシステムなので、ハッカー攻撃に対して大丈夫」といった趣旨の説明をしていることに対して、大いに疑問を持っている。

ここは前述の米国税務監察官の議会証言のように「利用者にとって便利なシステムは、ハッカーたち犯罪者にも、犯罪チャンスを増やす」というのが、公平な見方であろう。

米国の税務管理監察官たちは、ハッカー攻撃は組織的な犯罪者によって行われた可能性が高いと見ているようだ。

年金機構のハッカーと内国歳入庁のハッカーが同一グループなのかどうかは知らないが、その可能性は排除できないだろう。

私は政府が「ハッカー攻撃の可能性はある。それに対してセキュリティ予算をこれだけ用意する。万一情報が流出した場合は、このような対策を取り、損害の極小化に務める。各国政府等や大企業とのセキュリティ情報の共有を行い、予防策を講じる」というのが正しい姿勢だと思うのだが・・・・

金融そして時々山