イスラエルを拠点とする暗号資産ブローカーBits of Goldは、サードパーティに関連しているとされる顧客データ漏えいを調査しており、どれほどのユーザー情報が流出した可能性があるのか、そして同社が本件にどのように対応するのかが問われている。

これまでに確認されていること

本件はイスラエルで事業を展開する暗号資産ブローカーBits of Goldを中心とし、同社のプラットフォームに関連する顧客データが関与していると、本件に関する報道は伝えている。

Bits of Goldは、イスラエルで最も長い歴史を持つ暗号資産企業の一社でもある。2013年に設立された同社は、イスラエル証券監督局の制度の下でライセンスを保有する暗号資産サービス提供者として事業を展開しており、資産洗浄防止規則に基づいて顧客の身元確認データを収集することが求められている。これが、本件において個人情報の流出が中心的な懸念となっている一因である。

現段階で同社は調査を進めており、原因を確定したものとして提示するには至っていない。入手可能な報道は、本件をサードパーティに関連した進行中の調査として位置づけており、データがどのようにアクセスされたかを正確に裏付ける確定した説明ではない。

いくつかの核心的な詳細は依然として検証されていない。流出の正確な範囲、本件の発生時期、影響を受けた記録の件数は、入手可能な情報では確定しておらず、Bits of Goldのデータ漏えいは、こうした不確実性を踏まえて読まれるべきである。調査によって結果が示されるまでは、公的に記録されているのは開示そのものと、そこから派生する未解決の疑問のみである。

サードパーティとの関連が重要な理由

ベンダーに関連する事案は、プラットフォームへの直接的な侵害とは性質が異なる。サードパーティが関与する場合、流出したデータはブローカー自身のシステムから直接持ち出されたものではなく、外部のサービスを経由して移動した可能性があり、責任の所在や是正のあり方が変わってくる。

サードパーティ関連の事案は、検証に長い時間を要する傾向もある。外部の提供者が一連の処理に関与している場合、攻撃元の特定、対応の時間軸、開示の文言のいずれもが複雑になり得る。それが、本件で「調査中」という位置づけが重要な理由の一つである。

関与した特定のベンダーや用いられた手法が確認されていない以上、いずれかを名指しすることは憶測にほかならない。責任ある扱い方は、本件を技術的な事後検証の報告としてではなく、説明責任と検証の話として扱うことである。

顧客と暗号資産セクターが注視する点

ユーザーにとっての主な懸念は、規制下にある暗号資産ブローカーが保有する個人データの流出である。顧客は、調査の進展に伴い、同社が発する直接の通知、さらなる調査の更新情報、保護に関する指針を注視することになる。過去の事案がこうした警戒心を裏付けている。ハードウェアウォレットメーカーのLedgerは2020年、権限のない当事者が自社のEコマースデータベースにアクセスし、約100万件の顧客のメールアドレスが流出したと開示したが、漏えいした情報は暗号資産保有者を標的とした次々のフィッシング攻撃に悪用された。当座のところ、確認されている事実は、調査が行われていることと、それが外部の当事者に関連していることにとどまる。

ブローカーにおけるデータ事案は、通常のシステム障害にはない評判面およびコンプライアンス面の重みを伴う。信頼とセキュリティに対する期待は、暗号資産ブローカーサービスの中心にある。この分野では、取引プラットフォームにおけるSMS認証の置き換えを進める香港から暗号資産ウォレットへのより厳格なチェックを計画するアイルランドに至るまで、規制当局が基準を引き締め続けてきた。

本件は、イスラエルの暗号資産市場全体が成熟しつつある中で起きている。同国最大の銀行によるビットコインとイーサ(Ether)の取引への参入という動きは、国内企業が顧客情報をどう保護しているかに対する監視を一層厳しくするものだ。

同社がさらなる調査結果を公表するまで、本件のデータ漏えいは調査中の事案であり、その範囲、原因、顧客への影響は今後確定されていくことになる。