合成的に新たなアイデンティティを術策する詐欺(Synthetic Identity Theft：SIT)対策をめぐる信用情報機関、行政監督機関等の具体的取組みと更なる課題(その1)

Last Updated: Marh 15 ,2019

2017年7月26日付けの米国連邦議会の連邦行政機関のWatchdogである「行政監査局(GAO)」が参加した「Combating Synthetic Identity Fraud：Forum」の概要報告が手元に届いた。 

　過去にさかのぼるが、GAOは2017年3月30日付けで「Identity Theft Services：Services Offer Some Benefits but Are Limited in Preventing Fraud」 (注1)と題する報告を連邦議会あてに行っている。

　この犯罪類型は、犯罪者が実在（通常は盗んだ）ID情報と偽のID情報を組み合わせて新しいアイデンティティを作成する詐欺の一種である。不正に銀行口座を開設し、詐欺的な商品やサービス等を購入、不正に受給をするために使用される。この合成身元情報の詐称は、犯罪者が偽のIDに基づいてクレジットカード会社や貸し手から金銭を違法に盗むことを可能にするだけでなく、国の給付金の不正受給、テロ資金のマネローンダリング等、その適用範囲は極めて広い。したがって、GAOや連邦取引委員会(FTC)などの危機感が極めて高まっていることがその背景にある。 

　当時、筆者は、(1) そこで指摘された問題の大きさを十分理解できなかったこと、(2) 日本の場合、マイナンバーを利用する際には厳格な本人確認が義務付けられており、マイナンバーに加えて、運転免許やパスポート、健康保険証などで身元を確認することで、マイナンバーが漏えいした場合もなりすましを防止しうるという点等から、当面わが国での同様のリスクがあり得ないと感じたこともあり、あえて本ブログでは取り上げなかった。 

　しかし、マイナンバーの利用範囲が立法時に想定した範囲から次第に広がるリスクもありうる。すなわち金銭的なりすまし詐欺にあうリスク(勝手にクレジットカードが作られて引き落としされる、引き落としを止めようにも止められない、他人の借金を背負わされる)は比較的少ないものの、例えば、次のような詐欺犯罪に巻き込まれるリスクが広がる可能性は依然高い。

①知らぬ間に「会ったこともないし名前すら知らない外国人と入籍していた」、離婚しようにも相手がどこにいるのか分からないし、とにかく何が起こっているのか不気味である。

②勝手に自分名義の車が契約されていて、その車を使った犯罪が発生。勤務中に警察から呼び出しがかかり、会社を早退。弁明や後処理にも多大な時間がかかった上に、会社からの信用も失う。

③知らぬ間に住民票が移転されていて、気付いた時には、自分名義でアパートが契約されていて見知らぬ外国人が多数、そのアパートに住んでいる。家賃の未納が溜まっていて、支払う羽目に。外国人を追い出すのにも、弁護士等に依頼し、多大な金額や労力を使う。 

　米国(筆者注2)の場合と同様ではないが、SNS等で不用意に自分自身のマイナンバーを含む個人情報を渡したり、不審な先からの照会、通知があったときは必ず関係機関への直接確認は必須といえる。また、行政の立場から見た場合、米国で多く見られるなりすましによる社会保険、失業保険等の不正給付の問題が根強くあり、また、マネー・ローンダリングを通じて暴力団やテロ組織に資金が流れたときの被害者の責任を考えると、この問題は単に外国でのリスクという話では済まないといえる。その意味で、従来厳しく取り締まりを行ってきた「なりすまし詐欺」 (筆者注3)と一部重複するものの更なる対策強化が必要であろう。 

　本ブログは、まず(1)2014.10.28付け　IBM securityintelligence.サイトの解説「合成による新アイデンティティ詐欺(Synthetic Identity Theft：SIT)の手法：3つの方法 」および(2)Revere Bankの「Synthetic Identity Fraudの検出と予防」を仮訳し、”Synthetic Identity Theft”(Synthetic Identity Fraudと同義)詐欺手口、被害の範囲等を正確に解説するとともに被害の重大性、この詐欺の検出のむずかしさなどを認識し、次に(3)3月30日のGAOレポートの要旨(信用モニタリング、アイデンティティのモニタリング、アイデンティティの復元および個人情報盗難保険等の効果とその限界等を紹介し、最後に(4)7月のFGAO 参加Forumの内容を概観する。 (筆者注4) 

　なお、GAOが使用している”Identity Theft Services”という用語はいまいち言葉足らずの感がある。その意味内容からすると、連邦取引委員会(FTC)が使用している”Identity Theft Protection Services”のほうが的確と思えるため、本ブログではFTCの用語を併記する。 

　今回は、2回に分けて掲載する。 

１．合成的に新たな身元(アイデンティティ)を術策する詐欺(Synthetic Identity Theft：SIT)の手法：3つの手口 

　2014.10.28付けIBM securityintelligence.サイトの解説「Synthetic Identity Theft: Three Ways Synthetic Identities Are Created」を以下、仮訳する。 

　合成的なID詐欺は、架空のID情報の使用を伴う詐欺である。このID詐欺師は、実際の情報と加工された情報を組み合わせ、あるいは時にはまったく架空の情報を使って新しい身元(identity)を作り出す。この詐欺師は、この架空の身元を使って個人信用(クレジット)を取得し、預金口座を開設し、また運転免許証やパスポートを取得する。 

　通常、詐欺師はSIT(Synthic Identity Theft)において実際の社会保障番号（SSN）を使用し、その番号に関連付けられていない名前と組み合わせる。詐欺師は、子供や死者のような積極的に使用されていないSSNを探す。場合によっては、身元詐欺師は、偽のSSN、名前、住所で完全に偽の身元(Identity)を作成することがある。これは、盗難に関与していないため、身元識別詐欺に分類されるが、本レポートでは目的上、「合成的な個人情報の盗難」または「合成的な個人情報詐欺」を同じものとして扱う。 

(1) なぜ合成的なりすましは重要な問題なのか？  

　この種の盗難は、米国において過去5〜7年間に大きな詐欺行為として浮上してきた。合成的な個人情報窃盗被害の規模は、北米で年間10億ドル(約1,090億円)と推定されている。カナダのメデイアCBC によると、毎月の症例数は5年前と比べて数千にものぼり、月に約100件が見られた。  

　SITの指数関数的伸び、特に子供の身元への影響は、将来若者にとって悲惨な結果をもたらすであろう。 Carnegie Mellon大学のCyLab Security and Privacy Instituteが実施した調査によれば、子供のSSNは、研究対象の人口の成人よりも合成詐欺の被害にあうことが51倍も高い可能性がある。 CyLabはその発見が一般の人口に外挿することはできないと明言しているが、子供に対する脅威は明らかである。  

　総合的なアイデンティティの盗人は、活動しておらず、一般的に2018年までチェックされていないため、子供のSSNを対象としている。 子供たちは一般に、彼らのSSNに関連する公開情報を一切持っていないので、SSNを主要なターゲットにしている。被害を受けた未成年者の両親が請求書収集者に釈放されない限り、郵便でクレジットカードの提供を受け始めるか、または子供が運転免許証や大学ローンを拒否された場合、詐欺は発見されない可能性がある。 

　過去10年間で増加している児童の個人情報盗難の真の影響は、犠牲になった若者が大学時代に近づいたり、大学学費等の援助を申請したり、高校時代の負の情報が会社の背景スクリーニング時に明らかになる。  

(2) クレジット・ファイルの作成方法 

　サイバー犯罪者が自分にとって有利なようにシステムをコントロールする前に、そもそもクレジットファイルの作成方法を理解することが重要である。  

　信用履歴は、「信用調査機関（credit reporting agencies (CRAs)）」またはいわゆる「個人信用情報機関(credit bureaus)」によって収集され、維持される。米国には、Equifax、TransUnion、Experianの3つの主要なCRAがある。これらの機関は、クレジットカード会社、銀行、住宅ローン会社およびその他の債権者からの消費者の信用履歴を収集し、詳細な信用報告書を作成する。  

　消費者があるタイプのクレジットカードまたはローンの申請を完了すると、すべての申請情報がCRAに送信される。CRAは、申請者の個人識別可能な情報を収集し、信用報告書が存在するかどうかを判断する。 また、倒産や差し押えからの裁判所記録などの財務情報について、公的記録を精査する。一致するものが見つからない場合、CRAはクレジットファイルを確立することによって照会の記録を保持しなければならない。 一致するものが見つかった場合、貸出しファイル情報が貸し手に返され、与信決定が行われる。 

　理解すべき重要な概念は、CRAに提出されたクレジット要求は、要求前には存在しないクレジットファイルが作成されることである。 

　毎月、貸出機関およびその他の債権者は、最新の消費者信用情報をCRAに送信する。 この情報には、個々の消費者がどれだけ借りているか、時間通りに支払いを行っているかどうかが含まれる。  

　この問合せには、厳格なものとソフトなものの2種類がある。厳格な照会は、クレジットカード会社、住宅ローンの貸し手、小売企業、賃貸住宅の貸主などの機関債権者からの要請である。ソフトな問い合わせは、雇用者の採用時のスクリーニングの一環として、消費者または雇用者によって行われる。 倒産、差し押え、償却などの否定的な出来事は、7〜10年間は信用調査報告書に載っていますが、オンタイムの住宅ローン支払いなどの積極的な出来事はさらに長く続くことがある。  

◎　アイデンティティ詐欺師が信用プロセスを利用して合成アイデンティティーを確立し、不正行為を実行する主な方法

　以下のとおり、3つある。すなわち、貸し手に直接クレジットを申請する、承認されたユーザーのほとんどのクレジットカードアカウントまたはデータ提供者スキームを使用するものである。  

(1) 詐欺師による直接的な与信申請  

　詐欺師は、合成IDを作成し、クレジットカード発行会社などの貸し手に直接クレジットを申請してクレジットプロファイルを作成する。 最初の申請は拒否されるが、新しいクレジットファイルが作成される。 

　新しく設定されたクレジットファイルで、詐欺師はクレジットカード発行会社にクレジットを申請する。 カード会社がクレジット照会を実行すると、CRAは、プロファイルが存在するという情報をカード会社に返す。プロファイルには、それに関連するクレジット履歴はないが、一般的に、詐欺師は、履歴がない申請者に300〜500ドルのクレジットラインを提供するカード発行者を対象とする。  

　新しいクレジットアカウントで武装した詐欺師は、クレジットアカウントを正当に使用して支払いを行い、良い履歴を確立する。 詐欺師は、より多くのクレジットカード、小売店のクレジットアカウント、および自動車ローンを得るために、問題ない肯定的な信用履歴を活用する。  

　このプロセスは簡単で簡単に実行できまるが、確かな信頼性の高いプロファイルを作成するのに時間がかかるため、あまり好ましくない。  

(2) 承認されたユーザープロセスを利用  

　承認されたユーザープロセスは、ほとんどの合成IDがどのように作成されるかである。 承認されたユーザーをアカウントに追加することは合法であり、クレジットカード発行者が許可する。これは通常、配偶者や子供の追加などの正当な目的で使用される。 

　詐欺師は、承認されたユーザープロセスを利用し、カード所有者を積極的に募集して、未知の人物/身元をカードに追加する。正当なカード所有者は、この技術を使用して、「ピギーバック(piggybacking)」 (筆者注5)と呼ばれることがある。正当なカード所有者は、承認されたユーザーIDを自分のアカウントに追加するための手数料を受け取る。 承認されたユーザーにクレジットカードは発行されない。ある期間クレジットアカウントに座り、カード所有者のクレジット履歴を「継承」する。 

　credit line (クレジットライン：信用与信額)がCRAに報告されると、承認されたユーザーとしてアカウントから合成アイデンティティを削除できるが、クレジット履歴は保持される。 詐欺師は複数のカード発行者にクレジットを申請する。 複数のクレジットラインを獲得することで、詐欺師はギフトカードやスマートフォンなどの貴重な商品や簡単に売れるエレクトロニクスなどの商品を購入することで、すべてのクレジットラインを最大限に活用する。 

　この例では、詐欺師はまた、クレジットラインが最大化され、価値のないまたは偽造品の小切手で払い戻され、その小切手の支払いがなされる前に再び融資額を最大化される「バスト・アウト・スキーム(bust-out scheme)」(筆者注5-2)を実行することができる。これにより、クレジット会社には元の与信限度の2倍のエクスポージャー(無返済リスク)が発生する。よく組織化された犯罪者は、このプロセスを複数回繰り返すのである。 

　承認されたユーザーを追加するために募集されたカードの所有者は、一度に50人までアカウントに登録される。 カード所有者は、他の人が信用を確立したり修復するのを助けるために、良き信用履歴を寄付していると信じているかもしれない。ドナーとクレジット・アシスタンスを必要とする多くのクレジット・リペア/ピギーバック・ブローカーがいる。不正行為に結びついたアイデンティティを継続的に生成するアカウントは、受粉者アカウント(pollinator accounts)と呼ばれる。 

　たとえば、合成IDには2014年6月にクレジットファイルが作成され、小売ショッピングセンターに関連付けられた住所が使用されていた。8月には、信用限度額$ 55,000の熟練した取引ラインが合成IDに追加された。承認されたユーザーを追加してから2ヶ月以内に、合成IDは140,000ドルをうまくやり、無担保のクレジットで200,000ドルを蓄えた。 

• 銀行A：10,000ドル 

• 銀行B：10,000ドル 

• 銀行C：50,000ドル 

• 銀行D：$ 5,700 

• 銀行E：$ 20,000 

• リテール1：16,000ドル 

• リテール2：20,000ドル  

　この調査では、ほとんどの購入品に小売ギフトカードとハイエンド(最高級)商品が含まれていることが明らかになった。1人のCRAの調査官は、Verizon Wirelessや他の同様の業者がスマートフォン、特にiPhoneをターゲットにしていることを示した。 

******************************************************************************

(筆者注1) Identith Theft Procection Servicesについては連邦取委員会(FTC)が4頁ではあるが簡潔に整理している。 

(筆者注2) カナダでも大きな社会問題となっている。 2014..3.3 カナダCBC news「How 'synthetic' identity fraud costs Canada $1B a year：'Server Froze' among list of implausible fake ID names」

 (筆者注3) 米国の金融機関を対象とする「なりすまし詐欺」については2008年11月に筆者のブログ「米国の金融機関等の『なりすまし詐欺犯罪』対応規制強化の最新動向」(その1)、 (その2)、 (その3完) で詳しく論じている。 

(筆者注4) 全米州議会議員連盟(NCSL)は、2014時点の30州およびプエルトリコ自治連邦区のODなりすまし犯罪に関する刑事立法動向を「Identity Theft 2014 Legislation」として集約している。 

(筆者注5) ピギーバッキング:正当に通行許可を得ている人が、通行許可を得ていない人を連れて、セキュリティーシステムによって通行制限がかけられているドアやゲートを一緒に通り抜けること。

(筆者注5-2)”bust-out scheme”につき、2011.4.6 FBI Okrahoma City Divisinのリリースをもとに具体例で説明する。

　被告コルサイード・ガイル( Khawer Saeed Ghill：別称 Ghill)とアッサン・ウーラ(Ahsan Ullah ：別称“Ibrahim Khan”および“Shawn Ullah”)は、2003年3月から2007年4月の間に、ローンの返済する意図を持たずに不正にローンを取得することを狙って、金融機関や商業ビジネスに対する詐欺を企てた。さらに、両被告は、銀行、信用組合、クレジットカード会社、小売店を含む様々なクレジットカード発行会社から、銀行やクレジットカード会社、および小売店へ返済を意図しないままでクレジットカードの「意図的債務破たん(bust-out)」活動を通じてクレジットカードのキャッシング目的で金銭や財産を得たとされている。このbust-outの犯行手口の過程で、50を超える別々のクレジットカードが発行され、クレジットカード発行者と銀行は合計で約50万ドル(約5550万円)の損失を被ったと言われている。

　この手口では、GhillとAhsan Ullahは、「銀行詐欺(bank fraud)」(筆者注5-3)およびマネーロンダリングを行うための陰謀を図ったとされた。 有罪判決を受けた場合、これら2人の男性はそれぞれ最高30年の拘禁刑および100万ドル(1億1,100万円)の罰金に直面することになる。

　なお、bust -out fraudからいかに金融機関が被害を受けないかにつき、Experian Decision Analyticsの白書「バストアウト詐欺：何を狙うべきかを知っていれば、金融機関は収益を守ることができるか(Bust-out Fraud：Knowing what to kool for can safegurd the bottom line)」が詳しく、かつ専門的に解説している。

(筆者注5-3)わが国で”bank fraud”につき定まった訳語さえない。「銀行詐欺」では銀行が犯罪者になってしまう。そこで簡潔な解説サイトを引用、仮訳する。

　銀行等金融機関向け詐欺(いわゆるbank Fraud)は米国の連邦ホワイトカラー犯罪であり、虚偽または詐欺的なふりをして金銭、資産、クレジットまたは証券を金融機関から詐欺または詐欺しようとするものである。また 詐欺的なローン文書の作成、クレジットカードの発行申請および資金不足小切手(writing bad check)の作成も、他の刑法とともの長期にわたる銀行詐欺犯罪者として訴求される可能性がある。

　同詐欺により保護される金融機関は、米国内で認可され、かつFDIC、National Credit Union Association、および連邦政府により支援されている住宅ローン会社による保証を受けているものである。

　Bank Fraudの処罰に関連する法律は、合衆国法典第18 USC 1344 条に概説されている。これは、金銭、証券または財産の金融機関に対する詐欺行為を特に禁止しており、複数の預金口座を巧みに利用して、実際以上に資金が多くあるように見せ掛ける「チェック・キッティング(check kiting)」の場合にも適用されることを意図している。

 ****************************************************************** 

Copyright © 2006-2017 芦田勝(Masaru Ashida)．All rights reserved. You may display or print the content for your use only.You may not sell publish, distribute, re-transmit or otherwise provide access to the content of this document.

 

合成的に新たなアイデンティティを術策する詐欺(Synthetic Identity Theft：SIT)対策をめぐる信用情報機関、行政監督機関等の具体的取組みと更なる課題(その2完)

(2) 承認されたユーザープロセスを利用 

 　承認されたユーザープロセスは、ほとんどの合成IDがどのように作成されるかである。 承認されたユーザーをアカウントに追加することは合法であり、クレジットカード発行者が許可する。これは通常、配偶者や子供の追加などの正当な目的で使用される。  

　詐欺師は、承認されたユーザープロセスを利用し、カード所有者を積極的に募集して、未知の人物/身元をカードに追加する。正当なカード所有者は、この技術を使用して、「ピギーバック(piggybacking)」 (筆者注5)と呼ばれることがある。正当なカード所有者は、承認されたユーザーIDを自分のアカウントに追加するための手数料を受け取る。 承認されたユーザーにクレジットカードは発行されない。ある期間クレジットアカウントに座り、カード所有者のクレジット履歴を「継承」する。 

　credit line (トレード・ライン)がCRAに報告されると、承認されたユーザーとしてアカウントから合成アイデンティティを削除できるが、クレジット履歴は保持される。 詐欺師は複数のカード発行者にクレジットを申請する。 複数のクレジットラインを獲得することで、詐欺師はギフトカードやスマートフォンなどの貴重な商品や簡単に売れるエレクトロニクスなどの商品を購入することで、すべてのクレジットラインを最大限に活用する。 

　この例では、詐欺師はまた、クレジットラインが最大化され、価値のないまたは偽造品の小切手で払い戻され、小切手の支払いが返される前に再び最大化されるバスト・アウト・スキーム (筆者注5-2)を実行することができる。これにより、元の与信限度の2倍のエクスポージャーが発生する。よく組織された犯罪者は、このプロセスを複数回繰り返すことができる。 

　承認されたユーザーを追加するために募集されたカードの所有者は、一度に50人までアカウントに登録される。 カード所有者は、他の人が信用を確立したり修復するのを助けるために、良き信用履歴を寄付していると信じているかもしれない。ドナーとクレジット・アシスタンスを必要とする多くのクレジット・リペア/ピギーバック・ブローカーがある。 不正行為に結びついたアイデンティティを継続的に生成するアカウントは、受粉者アカウント(pollinator accounts)と呼ばれる。 

　たとえば、合成IDには2014年6月にクレジットファイルが作成され、小売ショッピングセンターに関連付けられた住所が使用されていた。8月には、信用限度額$ 55,000の熟練した取引ラインが合成IDに追加された。承認されたユーザーを追加してから2ヶ月以内に、合成IDは140,000ドルをうまくやり、無担保のクレジットで200,000ドルを蓄えた。 

• 銀行A：10,000ドル 

• 銀行B：10,000ドル 

• 銀行C：50,000ドル 

• 銀行D：$ 5,700 

• 銀行E：$ 20,000 

• リテール1：16,000ドル 

• リテール2：20,000ドル  

　この調査では、ほとんどの購入品に小売ギフトカードとハイエンド(最高級)商品が含まれていることが明らかになった。1人のCRAの調査官は、Verizon Wirelessや他の同様の業者がスマートフォン、特にiPhoneをターゲットにしていることを示した。  

(3) データ提供スキームの利用 

　データ提供は非常に効果的な戦術であるが、より洗練された組織化が必要であり、中小企業では謀略的な内部関係者を必要とする場合がある。この方法では、CRAによって審査され、顧客に提供されたクレジットアカウントで支払い履歴を提供または提供することが承認された「ダミー会社(front company)」を不正行為者として使用する必要がある。 

　これらのダミー会社は、 不正行為の目的で作成された新会社でも、組織内の所有者または個人（例えば、信用または財務管理者）が組織化された不正行為によって損なわれている既存の企業でもよいといえる。  

　データ提供スキームでは、合成IDを作成することができ、既存の合成IDのクレジットファイルを充実させることができる。 典型的な方式は次のように動作する。 

•  ①「申請者」は、中古車などのビジネス製品の架空の購入に対してクレジットを申請し、認可される。 

• ②毎月、事業者は、ファントムクレジットを提供した合成IDに関連するクレジットアカウントの支払いを報告する。 

• ③数ヶ月にわたり、合成IDの信用スコアが向上し、詐欺師が犠牲者たるカード発行者からより多くの無担保信用を得ることができる。その結果、被害が広がる。 

　 CRAがデータ提供者の製品価値をはるかに上回る金額のクレジット・アカウントなどの異常を特定するため、合成ID活動に従事するデータ提供者を特定することができる。 さらに、CRAは、複数の合成IDを特定のデータ供給者にリンクすることができる。  

２．合成によるアイデンティティ詐欺：米国Revere Bank「SIFの検出と予防

  米国Revere Bank「SIFの検出と予防Synthetic Identity Fraud: Detection and Prevention (2015年9月7日)から関係部を抜粋のうえ、仮訳する。

 (1) Synthetic Identify Fraudとは如何なるものか？ 

　合成による新たなアイデンティティ作成詐欺（SIF）には、盗難された社会保障番号（SSN）を実際の情報と加工された情報の組み合わせで頻繁に使用して架空の身元を作成することが含まれる。検出を遅らせるために、多くの組織化された犯罪者リングは、子供、高齢者および他の脆弱な集団のように、活発に使用されていないSSNを選び、ID偽造の対象とする。 

　合成アイデンティティ詐欺は伝統的な「なりすまし詐欺」とは異なるが、同様な損害を与える。 伝統的ななりすまし詐欺の際、加害者はあなたの情報を使ってあなたを偽装する。一方、SIFでは、詐欺師はあなたの情報を取り込んで新しいアイデンティティを作る。偽装自体はない。それにもかかわらず、詐欺師がいったんこれらの「架空の身元」を作成すると、クレジットの申請、預金口座の開設、保険契約の購入、医療給付の登録、運転免許証やパスポートの取得など広い範囲の不正が行える。

 (2) なぜSIFは検出が難しいのか？ 

　個人情報の盗難を検出するコンピュータシステムは、個人情報（名前、住所、SSNなど）を確立するために複数の個人情報に一致するように設計されている。 システムがこれらの要素のすべてに一致するものがなければ、その検知システムは動かない。一方、 SIFは実際のデータと架空のデータを組み合わせているため、従来の検出システムでは問題が検出されない場合がある。 

SSNが盗まれた場合、SSNのみで検索を行う収集機関によって簡単に検出されるが、名前と住所が作成されていれば、犯罪者を追跡することは困難である。 

(3) SIFの危険性は何なる点か？ 

　SIFは検出するのが難しいため、詐欺師は詐欺的な購入や不正な信用供与ラインを開くまでに時間がかかる。 検出に時間がかかるほど、疑わしい犠牲者にはより多くの被害を与えることができる。すなわち、詐欺手口の例としては、① 即時クレジットマックスの利用：詐欺師はクレジット口座を開設、すぐに機関、小売業者、およびその他の貸し手から可能な最大額の与信を引き出す。② 睡眠口座(sleeper account)： これらの口座はすぐに活性化され、信用限度額を増やすために良好な状態を維持することができるが、時間が経つとデフォルトにすることができます。 アカウントが存在する時間が長くなればなるほど、架空のカード保有者は現実のように見え、信用枠の追加対象となる。 

(4)自分を守る方法とは？ 

① 個人の口座番号またはSSNを含む文書は常にシュレッダーする。

② SSNカード、パスポートなどの安全なロックボックスに正式な身分証明書を保管する。

③ 施錠可能なメールボックスを取得する。

④ SSA があなたに毎年通知している公的年金ステートメント（Social Security statement）に記載した給与支払額等に誤りがないか確認する。 

　ほとんどの場合、このような人為的な個人情報の盗難(SIF)は何年間も検出されない。そして犠牲者は、詐欺師が不正支払いを履行しなくなった後でしか検出できず、 かつ犠牲者はSSNに基づいて債務者から嫌がらせを受けるようになる。 これらの脅威から身を守るためには、常に金融機関等からの警告サインを探し、あなたの個人情報の内容に常に注意を払ってください。  

３．アイデンティティ・セフトからの本人保護サービス

　GAOは、 2017年3月30日に連邦議会あて報告「Identity theft (Protection )services：いくつかの利点を提供しするが、他方でこの新型詐欺防止には限界がある」を行った。

　以下、ハイライト資料を以下、仮訳するが、詳しい個々の内容は報告全文(70頁)を参照されたい。 

(1) GAOが明らかにした点 

　アイデンティティ盗難サービス (筆者注1)にはいくつかの利点があるが、一方で制限がある。個別に論じる。 

① 信用モニタリング(credit montoring)：ユーザーに警告することにより、新規口座詐欺（新しい未承認口座の開設）を検出するのに役立つが、他方で詐欺を防止したり、盗難されたクレジットカード番号の不正使用など既存口座に対する詐欺に対処できない。 消費者は、消費者の信用報告へのアクセスを制限することにより、新規口座詐欺を防止することができる低コストの信用凍結を要求しており、信用モニタリングにかわる信用監視の代替手段を持つべきである。 

② 「アイデンティティのモニタリング(identity Monitoring)」は、公的な記録や不正なウェブサイトなどのソースを監視することによって、特定の個人情報を悪用されることを消費者に警告することができるが、なりすまし詐欺を緩和する効果という点では、なお不明である。

 ③ 「アイデンティティの復元(Identity restoration )」：なりすまし詐欺の影響を改善しようとするが、サービスのレベルは異なる。一部のプロバイダは、消費者の側に立って債権者とやりとりするなどの実践的な支援を提供する一方で、大部分のプロバイダーは、より限られた給付のため自立救済情報を提供するのみである。

 ④ 「個人情報盗難保険(identity Theft insurance)」：個人情報の盗難の是正のプロセスに関連する特定の費用をカバーするが、一般的に直接的な金銭的損失は排除されるため、クレームの数と金額は実際より低くなっている。

　これらのサービスは、通常、医療上のアイデンティティや税金払い戻しの詐欺など、いくつかの種類の詐欺被害の脅威に対応していない。  

　様々な要因が、なりすまし詐欺保護対策サービス(Identity theft (protection) services)の提供に関する政府および民間部門の意思決定に影響を及ぼし、これらのサービスに関連する連邦政府の指導が改善される可能性がある。 連邦部門では、特定の機関になりすまし詐欺被害支援対策サービスを提供するよう法律が要求している。

 　たとえば、人事管理局（OPM）は、2015年のデータ違反(筆者注6)の影響を受けた個人に10年間サービスを提供するとともに、500万ドル(約5億4,500万円)の個人情報盗難保険を提供することを法律で要求している。  

　しかし、支払保険金が数千ドルを超えることはめったにないため、この保険金のレベルは不必要である可能性が高い。このような要件は、不必要に連邦政府の費用を増加させ、消費者にそのような保険範囲の恩恵について誤解を与え、市場での不当な補償範囲の拡大を引き起こす可能性がある。 

　OMBは、情報漏えいに対する政府機関の対応についてのガイダンスを持っているが、このガイダンスは、OMBのリスク管理と内部統制ガイダンスに沿った、より低コストの代替案に対するこれらのサービスの有効性については言及していない。 

　さらに、OPMは、2015年の違反の両方によって影響を受ける約360万人の人々に対して重複した個人情報盗難サービスを提供し、OMBは連邦政府機関が潜在的に無駄な重複を避けるためのオプションを探究していない。 

 　また、OPMは個人情報侵害対応ポリシー.には、GAOによって以前に特定された主要な業務慣行とは対照的に、ID盗難サービスの提供時期を決定するための基準や手順は含まれておらず、OPMは、将来の情報に基づく意思決定を妨げる可能性のある過去の違反行為の対応策についてつねに文書が出せない。 民間部門では、企業は、責任を回避したり、州法を守るなど、個人情報の盗難のリスクを軽減する以外の理由で、データ侵害の無料の個人情報盗難サービスの影響を受ける消費者を提供する。  

４．GAO のSynthetic identity fraud（SIF)Forum に関するreport 　

　レポート内容のハイライト文を以下、仮訳する。 

　Synthetic identity fraud（SIF）は、加害者が社会保障番号（SSN）や名前などの実在情報や架空の情報を組み合わせて、金融機関、政府機関、個人を不正にする可能性のある身元を作成する犯罪である。 2017年7月現在、SIFの規模は不明であったが、パネリストはこの種の不正行為が広範な影響を及ぼしていることに同意した。 例えば、あるパネリストは、銀行がSIF関連の未払い債務により年間約5,000万ドル〜2億5,000万ドルを失った可能性があると指摘した。 政府機関もこれら損失に直面する可能性がある。 例えば、あるパネリストは、ある州がSIF関連の失業保険金詐欺罪で推定2億ドルを支払ったと述べた。また、あるパネリストは、SIF犯罪者がマネー・ローンダリングを通じてテロ組織に資金を提供した例についても説明した。 

(1) SIFが原因となる広範な脅威

 

 

　パネリストは、公的機関と民間機関がSIFと闘う際に直面する多くの課題を特定し、いくつかの課題に取り組むための選択肢を以下のとおり特定した。 

(1)SIFの被害の予防(Prevention)：金融機関のプライバシー法の解釈は、詐欺的不正行為についての情報共有や法執行機関との情報共有を制限する。追加的な明確な法規制ガイダンスの策定等により、金融機関同士の情報共有を改善できる可能性がある。 

(2)•SIFの検出：民間および公的機関は、SIFを識別するために従来の不正検出手法（犠牲者の自己申告など）を使用する傾向がある。SIFでは、犯罪を報告する犠牲者はいないかもしれない。見かけ上は関連付けられていない複数の銀行口座（例えば、同一の顧客電話番号を有する異なる口座を識別するデータ・マイニング）を検出する高度なデータ分析は、従来の方法よりもSIFを検出する方が効果的である。

(3) SIF行為の訴追：社会保障庁（SSA）は、法執行機関の努力を遅らせることができるSSN検証の外部要求に対して、SSA給付に関連する詐欺事件に関するその資源に優先順位を付けた。 

　しかし、支払保険金が数千ドルを超えることはめったにないため、この保険金のレベルは不必要である可能性が高い。 このような要件は、不必要に連邦政府の費用を増加させ、消費者にそのような保険範囲の恩恵について誤解を与え、市場での不当な補償範囲の拡大を引き起こす可能性がある。

 (2) GAOがこの研究を行った理由 

　データ漏えいを経験した民間企業や政府機関は、影響を受ける消費者に、通常、信用調査(credit monitoring)、身元調査(identity monitoring,)、身元の復旧(identity restoration)、個人情報盗難保険などの個人情報盗難サービスを提供します。  2015年のデータ侵害に対応して、OPMはID盗難サービスに約2億4000万ドルの義務を負う2件の契約を授与した。  

　 GAOは、ID盗難サービスとその有用性に関連する問題を検討するよう議会から要請を受けた。 このレポートは、他の目的の中でも、（1）ID盗難サービスの潜在的利益と限界、および（2）政府および民間部門の意思決定に影響を及ぼす要因を調査します。  GAOは製品、研究、法律、規制、連邦指導および契約を見直し、大規模な市場参加者であったため、連邦政府機関、消費者団体、業界関係者、選出された8名のプロバイダーにインタビューした。  

(3) GAOが推奨した事項 

　連邦議会は、データ漏洩後に提供される個人情報盗難保険の適切な保険適用範囲レベルを、連邦機関が決定することを認めなければならない。 OMBは、アイデンティティ盗難サービスの代替案に対する有効性を分析し、連邦政府機関のこれらのサービス提供における重複に取り組むための選択肢を検討すべきである。OPMは、これらのサービスを提供する際の違反対応方針を取り上げ、その意思決定プロセスを文書化する必要がある。 OPMは、同連邦機関に対するGAOの勧告に同意した。 

******************************************************************************

(筆者注5-2)「バスト・アウト」の定義をあげておく。

クレジットカード詐欺の一種で、個人がクレジットカードを申請し、当初は通常の使用パターンと堅実な返済履歴を確立するが、次に請求書の金額を支払うつもりはないのに、数多くかつ限度額までを利用する。 バスト・アウトは、個人がカード発行者の信頼を発展させる初期段階と、多数の口座を開設し、クレジットラインの増加を受けて詐欺の第2段階でより多くの資金が利用できるようにする強い信用プロファイルを備えようとするもので、当該個人は、返済する予定のないクレジットカード取引を行うものである。

(筆者注6) 2015.7.11 日経ITpro記事「米政府人事管理局、2000万人以上の個人情報が流出」 参照。

**************************************************************************

Copyright © 2006-2017 芦田勝(Masaru Ashida)．All rights reserved. You may display or print the content for your use only.You may not sell publish, distribute, re-transmit or otherwise provide access to the content of this document.