エストニアで発生した顔写真データの違法ダウンロードについてまとめてみた - piyolog

2021年7月28日、エストニア国家情報システム庁（RIA）、警察・国境警備局は国が運営するシステムから顔写真データの違法なダウンロードが行われたことを公表しました。警察は既に容疑者を摘発しており既に刑事手続きに入っていることも併せて公表されています。ここでは関連する情報をまとめます。 顔写真流出による発行済みIDへの影響無し 容疑者によってダウンロードされた顔写真は286,438枚で、エストニア全国民の約21%（2021年時点で約133万人）にあたる。但し、今回の顔写真流出を受けてIDカード、モバイルID、スマートIDへの影響はないとされており、発行済みの身分証明書、顔写真は引き続き有効とされた。これは顔写真や個人識別コードだけでeサービスへのアクセスやデジタル署名の付与、銀行口座などの金融取引を実行することはできないためとされる。 影響を受けた約29万人へは国が運営するポータルサイト（

[el-condor]

纏め感謝。やはり一元化しないことによる防禦性能大事。そして対応の機動性と透明性の高いこと。本邦デジタル庁があの大臣とあの事務方になったら隠蔽一辺倒やろなと思うとやはり先進国に憧れるよねえ。

[buhoho]

システムの設計もそうだしまともに運用されてる感がすごい。もっとグダグダなのかと思ってた

[renowan]

「単独犯であったことや更なる犯行の兆候がないことなどから検察が拘留の必要はないと判断」某中世警察司法とはずいぶん違うね。

[KoshianX]

へえ、さすがエストニア。こういうのもすぐ見つけるし、全データはとれないようになってると。よく考えられてるなあ

[otoan52]

対応や不正があった場合への備えは流石にキッチリしてるなという印象。とりあえずダメージコントロールできてる感じ。

[oooooooo]

エストニア国家情報システム庁がなぜ RIA なのかと思ったら Riigi Infosüsteemi Amet の略だった

[spark7]

マイナンバーに夢見てる勢はこういうのと逆の使い勝手を望んでるぽいけどな「データ分離の原則」

[internetkun]

日本を揶揄して中世云々言っている人がいるけど日本でもIT犯罪で在宅起訴にしている事例いくらでもある

[Funyapu]

逮捕はやっ。ネットワーク握ってるってそういうことだよね

[BlueSkyDetector]

結局、デジタル証明書の有効性チェックにバグがあったということみたいだな。偽造できたってことはオレオレ証明書を通してしまったんだろうか。

[Mabuo_H]

これは凄いな。よく逮捕までこぎつけた。

[hogeaegxa]

攻撃を許した現実に、謎のたらればをかぶせて日本ディスってる奴らは本当かわいそう。早く死亡してほしい

[kjin]

はー、脆弱性突かれたけどデータベース一元化はリスク分散観点からしてなかったので限定的被害だったと“今回顔写真に影響が限定された理由として、RIAは全国民の一元的なデータベースが存在しないことを挙げている。

[umi1334]

早く日本もこうなるべき

[razokulover]

システム設計も事後の対応も流石エストニアという感じだ

[Shalie]

"各当局において、担当する業務に必要な国民のデータのみを保管するデータ分離の原則により、今回の脆弱性の様にシステムに何らかの問題が生じた際も一度にすべてのデータを取得することを防止している"

[baimeinyan]

これはこれで問題なのだが、facebookはこれ以上の情報を持っているんだよなあ

[kamayan1980]

なるほど。顔写真をとったところで使いみちがない（使わなくても他２点があれば悪さが可能）ってことか。「取れるから取ってみた」ってケースかな。

[ysync]

違法とざっくり言ってるけど、詐取が法に触れたのか、不正アクセスそのものなのか、個人情報関係の法なのかわからんな。金品と違ってコピーだしな。

[pascal256]

後で読む

[masa8aurum]

被害が顔写真だけですんだ理由として、“各当局において、担当する業務に必要な国民のデータのみを保管する” データ分離の原則がある、と。利便性とのバランスはどうなのかな？

[hick34d5]

勾留しないってすげえな

[natu3kan]

一元的なデータベースがないって、セキュリティが抜かれた時のダメコンされてるのね。

[htnmiki]

そういえばomiaiはどうなったんだ

[theta]

パスワードが漏洩したら変更すれば済むけど、顔は変えられないから困るなあ。指紋とかも同じだけど。

[tattyu]

ひええと思ってたらやるじゃんエストニアって感じ。

[ryunosinfx]

マイナンバー民間利用が法的制約なしにOKとなると民間が事実上全国民のDBを持つ事になりこの犯人の願いは成就される。情報非対称性で優位になった営利企業が有権者を個別に脅し国家運営を乗っ取るのも夢ではなくなる

[togusa5]

愛をこめて

[tdam]

不正アクセスへの抑止力として、AIが作った仮想顔写真をデータベースに大量に混ぜておいて、DBの真偽性をぼやかしておくとかどうか？と思ったが、一歩間違えるとより悪い未来が待っているかな。

[taron]

集中管理の弱みだなあ。

[mkusunok]

「偽造したデジタル証明書を使用し、RIAが管理する写真転送サービスを通じて個別のクエリを発行し写真の取得」って、署名検証のところで何かしら脆弱性があったのかな

[JULY]

偽造されたデジタル証明書、というのが気になるけど、有効性検証を回避できる脆弱性があった、ということは、その偽造証明書は、オレオレ証明書みたいなものかな。