中国はビッグブラザーの攻撃を受けていると思っていた？インドもすぐ後に続く

2017年3月、インドのニュースチャンネルCNNニュース18のジャーナリスト、デバヤン・ロイ氏は、インドの生体認証IDプロジェクト「アーダール」に何か問題があることを証明しようと試みた。その試みは驚くほど単純明快だった。そして、それはこの巨大データベースが抱える問題のほんの始まりに過ぎなかった。

ロイは数日前に自身の名前と身分証明書を使ってアーダール番号を申請していたが、今回は偽造運転免許証を使って2度目の申請を行った。報道を受けて、アーダールIDを発行する中核機関であるUIDAIはロイを警察に告訴した。UIDAIは最終的に、ロイの偽造身分証明書に基づいてアーダール番号を発行した。

アーダール番号は、個人の生体情報と人口統計情報に基づく12桁の身分証明書で、インドでは多くの政府福祉サービスや民間サービスで必須となっています。現在、銀行口座の開設、携帯電話の取得、税金の支払い、さらには救急車の利用にもアーダール番号が必要です。これは世界最大の生体認証IDプロジェクトであり、12億2000万人以上が登録しています。ロシア、アルジェリア、モロッコ、チュニジアも同様のシステムの導入に関心を示しています。

ロイ氏だけではない。インドが全住民に生体認証IDを提供するという試みは、データ漏洩、データへの不正アクセス、偽の身元、フィッシング、認証機能の不具合、プロファイリングや大規模監視に関連するプライバシー問題など、多岐にわたる問題を抱えている。

ロイ氏の訴訟は依然として係争中だが、インドの最高裁判所は本日、4対1の票数で、アーダールは合法であり、プライバシーの問題はその利点を上回るとの判決を下した。判決の中で裁判所は、携帯電話の契約締結時や子供の入学手続き時にアーダールの詳細情報の提供を求めることはできないと述べ、一定の譲歩はした。しかし、アーダールには依然として大きな問題がある。

2010年9月30日以降、スパイ、犬、木、椅子、そしてヒンドゥー教の神ハヌマーンにもアーダール番号が発行されてきました。ハヌマーンには実際に機能する銀行口座があり、福祉手当が振り込まれていた可能性さえあります。

続きを読む: 中国が国民の格付けに着手、ビッグデータとビッグブラザーが出会う

登録ソフトウェア用のパッチ（機能を変更するソフトウェア）は、わずか35ドルで入手可能でした。これによりセキュリティ保護を回避できるようになり、世界中の誰もがAadhaar番号を生成できるようになりました。この登録パッチは、ほぼ1年間もの間、停止されることなく稼働していました。偽の身元情報の作成を可能にするためでなければ、なぜAadhaar番号を生成するソフトウェアにパッチを当てようとする人がいるのでしょうか？

Aadhaarは生体認証の重複排除技術を用いて同一人物が複数のAadhaar番号を取得できないようにしているが、このシステムは生体認証の混合（ミスまたは意図的なミスで、ある人物の指紋が別の人物の指紋と混在している状態）には対応できないようだ。それぞれの事例は別々の個人として扱われる。その結果、データベースにどれだけの偽造指紋が存在するかは不明であり、インド政府は国民全員に生体認証の再認証を義務付けない限り、偽造指紋を特定する手段を実質的に持っていない。

インド政府は世界に先駆けてデータ民主主義の実現を目指しており、国家によるデータ収集はFacebookやGoogleによるデータ収集への対抗策と見られています。しかし、その過程でインド当局は膨大な個人データを公共資産へと変貌させ、さらにそのデータを民営化して地元企業に提供しているのです。

次のステップは、Aadhaarシステムを利用して、登録された各個人の包括的なプロファイルを作成することです。計画には、Aadhaarにリンクされた電子健康記録を備えた国家健康情報ネットワークの立ち上げが含まれています。さらに、Aadhaarにリンクされた金融取引データを備えた公的信用登録簿の立ち上げも含まれています。電子商取引政策の草案が漏洩した資料には、中央集権型の顧客確認（KYC）登録簿の創設が示唆されています。また、DNAプロファイリング法案は、Aadhaarを国民のDNA情報とリンクさせることを可能にすると予想されています。これらの個人データは、同意に基づき、保険会社、フィンテックのスタートアップ企業などに提供される予定です。

潜在的な危険は数多く存在します。まず、人々はデータを安全に保つ能力のない政府にデータを提供することを余儀なくされています。Aadhaar番号の公開は違法であるにもかかわらず、200以上の政府ウェブサイトが公開し、わずか4つの政府機関の計画によって1億3000万人以上のデータが漏洩しました。ほとんどの人は、自分のデータが漏洩することの影響を理解しておらず、それがデータの損失と結び付けられないことも少なくありません。

インドの電気通信規制当局長官は最近、ハッカーに対し、自身のAadhaar番号をオンラインで公開することで被害を与えようと試みるよう呼びかけました。人々がウェブから彼の個人データを収集し始めた際、長官はこれは害悪ではなく、機密性の高い個人情報の共有が常態化していると指摘しました。また、Aadhaar番号の公開は違法です。インドでは、Aadhaarに関連したフィッシング攻撃の事例が複数報告されています。被害者は電話でAadhaar番号を知らされ、登録済みの携帯電話に送信されるワンタイムパスワードを共有するよう求められます。このパスワードは、銀行口座に紐付けられた登録済みの携帯電話番号を変更するために使用され、UPIと呼ばれるデジタル決済サービスを利用して銀行口座から送金されます。

今年1月、データベースへのアクセスがわずか500ルピー（約5.5ポンド）で販売されていることが判明しました。データベースへのアクセスは、時折、安全でないHTTP接続で実行されていたとされ、ある開発者がAadhaarデータを取得できるアプリを開発することができました。このシステムはAadhaar番号と人口統計データを第三者と共有するように構築されているため、政府は自国のサービス以外ではデータのセキュリティを確保できないことになります。

続きを読む: ユヴァル・ノア・ハラリが語る2050年の人類の未来

ハッカーにとって、Aadhaarは巨大なハニーポットであり、このデータを保存するデータベースが増えるにつれて、攻撃対象領域は拡大します。Aadhaar番号を変更したり、失効させたりすることはできません。Aadhaar法はまた、法的救済を受ける権利を国民から剥奪することで、国民の権利を奪っています。データ盗難があった場合、UIDAIのみが訴訟を起こすことができます。これは、政府によるデータ漏洩に対する抑止力が全くないことを意味します。なぜなら、どの政府機関が他の機関を訴えるでしょうか？

もう一つの重大な危険は、生体認証の利用にあります。生体認証データは複製、保存され、福祉補助金の盗難に利用されてきました。2月には、グジャラート州スーラト市で福祉配給店を経営する店主たちが、生体認証情報、配給カード番号、そしてアーダール番号を保存したソフトウェアを使って補助食品を盗んだとして逮捕されました。彼らはこのソフトウェアを1万5000ルピー（約156.50ポンド）で購入しました。いずれにせよ、指紋採取機を人の目の前に置き、それを使って指紋を採取し、後で本物の指紋採取機に差し替えるだけで済むのです。

アーダールは、国家と個人の関係を根本的に変えるという点でも失敗している。国家をサービス提供者と位置づけ、国民を顧客として扱う。もし国家が国民にサービスを提供したくない場合はどうなるのだろうか？昨年可決されたアーダール法は、政府が必要と判断するあらゆる理由でアーダール番号を無効化することを認めている。これは市民の死につながる可能性があり、国民に対して国家が不均衡な権力を持つことにもなる。銀行口座は使えなくなり、給付金も受け取れなくなり、国家にとって存在意義を失うことになるのだ。

さらに、サービスと引き換えに人々からデータを強制的に提供させられています。アーダール番号に紐付けない限り、銀行口座や携帯電話番号を凍結すると脅迫されているのです。アーダールなしでは、福祉配給や調理用ガスの補助金、学校への入学、病院での治療などを拒否されています。生体認証は確率的な性質を持つため、肉体労働や高齢化によって指紋が消失した人でさえ、福祉を受けられずにいます。亡くなった人がいるにもかかわらず、福祉の拒否は汚職の削減や「節約」として誇示されています。

アーダールに頼っているのは中央政府だけではありません。いくつかの州はアーダールデータの複製を作成し、「州住民データハブ」に保管しています。例えば、マディヤ・プラデーシュ州では、住民の360度プロファイルを作成し、複数のデータベースからデータを収集する計画が立てられています。アーンドラ・プラデーシュ州ではすでに、住民5,000万人のうち4,300万人の個人情報にアクセスできるダッシュボードが整備されています。このダッシュボードには、住宅のGPS座標、使用している医薬品、配給されている食料に加え、防犯カメラからの情報、社会階級、宗教、その他のデータポイントも含まれていると報じられています。

Aadhaarは、データベースとデータセットを結び付けるため、大規模監視と大規模プロファイリングの要となっています。インドが自ら招いたこの混乱から学ぶべき教訓があるとすれば、それは「生体認証のような恒久的なパラメータに基づく身元確認の中央集権化は、とんでもない考えだ」ということです。人々や国を危険にさらし、利益よりも害をもたらすでしょう。

Nikhil PahwaはMediaNamaの創設者であり、@nixxinからツイートしています。

この記事はWIRED UKで最初に公開されました。