1.5億件超の本人確認情報流出疑惑とAI攻撃の現在
POINT
- ダークウェブの情報窃取サイト「Nexus」が、米国・カナダの運転免許証やパスポート1億5,000万件超を検索可能と主張し、本人確認企業IDScanが侵害元とみられている
- AIを使った攻撃は過去1年で89%増加し、侵入から拡散までの最短時間は27秒。攻撃側も防御側もAIエージェントを使う時代に突入した
- 専門知識がなくても今日から始められる、業務アカウント・本人確認書類・AI利用時の情報を守る3つの習慣がわかる
※ Nexusをめぐる侵害は本稿執筆時点で調査中の事案であり、断定的な事実ではなく報道・関係者コメントに基づく内容です。
本人確認サービスから1.5億件超が流出した疑い
2026年9月、ダークウェブ上に「Nexus」と名乗る情報窃取サイトが現れた。米国とカナダの住民に属する運転免許証やパスポート、1億5,000万件超を検索できると謳う内容だった。TechCrunchの報道によれば、ロシア系サイバー犯罪フォーラムの広告には、毎日約50万件のペースで文書が追加されるとの説明まであった。
セキュリティ記者ブライアン・クレブス氏は、自分自身の運転免許証がこの検索対象に含まれていることを確認した。他人事では済まされない事実だ。クレブス氏と研究者ザック・エドワーズ氏は、侵害元の可能性が高いサービスとして米ルイジアナ州の企業IDScanを特定した。IDScanは世界各地で毎月数千万人分の身分証確認を担い、主要なテクノロジー企業や消費者向けブランドが利用している。
IDScanの最高執行責任者ジリアン・コスマン氏は、同社が調査中だと説明した。
FBIも事件の調査を認めたが詳細は明かしていない。Nexusはクレブス氏の記事公開後まもなくオフラインになった。証拠が消えたわけではない。誰かがすでに個人情報を握っているという事実は残る。
本人確認のためにアップロードした免許証やパスポートの画像は、確認作業を代行する事業者側でこそ狙われやすい。攻撃側の技術もまた、急速に進化している。
攻撃側もAIを使う。侵入から27秒で被害が広がる時代
CrowdStrikeの分析では、AIを利用した攻撃は過去1年間で89%増加した。eCrime攻撃の最短ブレークアウトタイムは27秒に達している。人間のオペレーターが気づいて対応する前に、被害が組織内に広がってしまう速度だ。
これに対抗する形で、2026年のFal.Conではラスベガス会場に1万人のセキュリティ専門家が集まり、NVIDIAとCrowdStrikeが共同でエージェント型防御システム「SafeMind」を発表した。NVIDIAの発表によれば、CrowdStrike独自のセキュリティモデルにNVIDIA Nemotronベースの防御モデルを組み合わせ、攻撃側と防御側が継続的に対抗・適応する仕組みを採用したという。CrowdStrikeのFalconプラットフォームにネイティブ搭載され、Falcon IQは50以上のエージェントを統合し、評価・優先順位付け・修復を自動で回す。
CrowdStrikeの社内評価では、Nemotron 3 Superを基盤としたBlue Solanoモデルが、業界最先端とされるAIモデル(フロンティアモデル)を上回る正確性を、99%低いコストで実現したという結果も出ている。CrowdStrikeのセキュリティチームは、脅威データを外部プロバイダーに送らず自社環境で追加訓練し、自社向けにカスタマイズした。
OpenAI側もこの流れに加わる。OpenAIの発表によれば、サイバーセキュリティに特化したモデルGPT-5.6-Cyberが、認可された脆弱性研究やエクスプロイト検証、セキュリティテスト向けにDaybreak Redを通じて利用可能になっている。防御側の技術は確実に強化されている。一方で、攻撃側が同じスピードで進化する以上、個人の側の習慣が防御の最後の砦になる局面は変わらない。
社員が今日から実践できる3つの習慣
技術で守れる範囲は広がった。それでも突破口になるのは、結局のところ人間の行動だ。特別なツールがなくても実践できる習慣を3つ挙げる。
1. 業務アカウントはパスワードを使い回さない
ブレークアウトタイムが27秒という数字が示すのは、一度の侵入がどこまで広がるかは初期防御にかかっているという事実だ。多要素認証を有効にし、業務用と個人用でパスワードを分けるだけで、被害の連鎖を断ち切れる可能性が上がる。
2. 本人確認書類はアップロード先を確認する
IDScanのような本人確認企業を経由する場面は、eKYCの普及とともに日常業務に増えた。免許証やパスポートを提出する前に、その事業者が信頼できる相手かどうかを一度立ち止まって確認する。提出履歴が残るサービスなら、定期的に見直す習慣も有効だ。
3. AI利用時に機微情報を貼り付けない
社内の議事録や顧客データをそのままAIチャットに貼り付ける行為は、意図せぬ情報流出の入り口になりうる。攻撃側が同じAI技術を使って収集・分析するスピードを上げている以上、入力する前に一呼吸置く判断が個人レベルの防御として効いてくる。
まとめ
本人確認サービスの流出疑惑と、攻撃側の27秒という速度は、どちらも「気づいたときには手遅れ」という共通点を持つ。防御技術の進化を待つだけでなく、パスワードの使い回しをやめる、提出先を確認する、AIへの入力前に一呼吸置く。この3つを今日から始めることが、最も現実的な対策になる。