米国6.7億人の個人情報が流出——データブローカーInfutorの史上最大級データ侵害

6億7,679万8,866件——これは米国のデータブローカー企業Infutorから流出した個人情報のレコード数だ。フルネーム、物理的な住所、電話番号、生年月日、そして**社会保障番号（SSN）**まで含まれている。米国の成人人口は約2.6億人であることを考えると、一人あたり複数レコードを含むとしても、事実上ほぼ全ての米国成人の情報が流出した計算になる。

今回の事件は、単なるメールアドレスやパスワードの流出とは次元が異なる。SSNは米国において銀行口座の開設、ローンの申請、税金の申告など、あらゆる重要な手続きに使われる「究極の個人識別子」であり、一度漏洩すると変更が極めて困難だ。この記事では、Infutorとは何者なのか、なぜこれほどの規模の流出が起きたのか、そしてデータブローカー業界が抱える構造的な問題を深掘りする。

Infutorとは——知られざるデータブローカーの正体

Infutorは米国イリノイ州に本拠を置くデータブローカー（データ仲介業者）で、消費者の個人情報を収集・集約し、企業向けに提供するビジネスを展開している。主な顧客はマーケティング企業、保険会社、金融機関、本人確認（ID verification）サービスなどだ。

データブローカーのビジネスモデルは極めてシンプルだ。公的記録（不動産登記、有権者登録）、SNSの公開情報、クレジットカードの利用履歴、アプリの位置情報など、あらゆるソースから個人データを収集する。次に、異なるソースのデータを「名寄せ」して一人ひとりの詳細なプロファイルを構築する。そして、そのプロファイルをデータ単位で企業に販売する。

Infutorは特に「Identity Resolution（本人確認解決）」を強みとしており、断片的なデータから個人を正確に特定する技術を持っていた。皮肉なことに、この技術力が裏目に出た。ハッカーにとっては、名寄せ済みの高品質なデータベースを一括で入手できる格好のターゲットだったのだ。

注目すべきは、Infutorが2021年にも類似のデータ侵害を受けていた点だ。前回の事件では、データベースがダークウェブ上で販売されていたことが報告されている。5年間で2度の大規模流出は、同社のセキュリティ体制に根本的な問題があることを示唆している。

流出データの内容と規模

今回流出したデータの内容を整理する。

データ項目	流出有無	リスクレベル
フルネーム（氏名）	流出	中
物理的住所	流出	高
電話番号	流出	高
生年月日	流出	高
社会保障番号（SSN）	流出	極めて高
メールアドレス	一部流出	中
金融口座情報	未確認	—

特に深刻なのは、SSN・氏名・生年月日・住所がセットで流出している点だ。これらの情報が揃えば、以下の犯罪行為が技術的に可能となる。

• なりすまし（Identity Theft）: 被害者名義でクレジットカードやローンを申請
• 税金詐欺: 他人のSSNで確定申告を行い、還付金を詐取
• 医療保険詐欺: 他人の保険で医療サービスを受ける
• SIMスワッピング: 電話番号を乗っ取り、二要素認証を突破

流出レコード数6億7,679万8,866件は、米国史上でもトップクラスの規模だ。

以下の図は、データブローカーが消費者の個人情報をどのように収集・集約し、最終的に誰に販売しているかの全体像を示しています。

この図が示すように、データブローカーはデータの「集積所」として機能している。一箇所に集約されているからこそ、侵害が発生した際の被害が甚大になる。

データブローカー業界の闇

Infutorの事件は氷山の一角にすぎない。米国にはAcxiom、Experian、LexisNexis、CoreLogicなど、数千社のデータブローカーが存在し、推定2,000億ドル（約30兆円）規模の市場を形成している。

問題の根幹は、消費者がデータブローカーの存在すら知らないケースがほとんどだという点だ。ユーザーがSNSに投稿する、オンラインで買い物をする、引越しの届け出をする——これらの日常的な行動が、本人の知らないうちにデータブローカーのデータベースに蓄積されている。

米国では、データブローカーを直接規制する連邦法が存在しない。カリフォルニア州のCCPA（California Consumer Privacy Act）やバーモント州のデータブローカー登録法など、州レベルでの規制は進んでいるものの、連邦レベルでの包括的な規制は依然として実現していない。

なぜデータブローカーが特に危険なのか

通常のサービスからの情報漏洩（例: ECサイトからのクレジットカード情報流出）と、データブローカーからの流出には決定的な違いがある。

1. データの網羅性: ブローカーは複数ソースのデータを名寄せしているため、流出するデータが極めて詳細
2. 同意の不在: 消費者はそもそも自分のデータがブローカーに渡っていることを知らない
3. 削除の困難さ: データブローカーからの情報削除を請求するのは困難で、1社から削除しても別の数十社に同じデータが残る
4. スケールの問題: 一度の侵害で億単位のレコードが流出する

歴代データ侵害との比較

今回のInfutor事件を、歴代の主要なデータ侵害事件と比較する。

事件	年	流出件数	主な流出データ	SSN含む
Yahoo	2013-14	30億件	メール、氏名、生年月日	いいえ
First American	2019	8.85億件	銀行口座、SSN、運転免許証	はい
Infutor（今回）	2026	6.77億件	氏名、住所、電話、SSN、生年月日	はい
Facebook	2019	5.33億件	電話番号、メール、氏名	いいえ
Equifax	2017	1.47億件	SSN、生年月日、住所	はい
T-Mobile	2021	0.77億件	SSN、運転免許証、氏名	はい

Yahooの30億件には及ばないものの、Infutorの事件が際立っているのはSSNを含む包括的な個人情報がセットで流出している点だ。Yahooの流出はメールアカウント中心であり、直接的な金銭被害に繋がるリスクはInfutorの方がはるかに高い。

以下の図は、歴代の主要データ侵害事件の流出レコード数を視覚的に比較したものです。

Equifaxの事件（2017年）では、1.47億件の流出で最終的に7億ドル（約1,050億円）の和解金が課せられた。Infutorの流出規模はEquifaxの4.6倍であり、法的・経済的な影響は計り知れない。

身を守るための対策

今回の事件で直接の被害対象となるのは主に米国居住者だが、グローバル化が進む現在、日本在住者でも米国のサービスを利用している場合はリスクがある。以下の対策は国を問わず有効だ。

パスワード管理の徹底

SSNのような変更不可能な情報が流出した場合、他のアカウントへの二次被害を防ぐことが最重要となる。すべてのサービスで固有の強力なパスワードを使用し、1Passwordのようなパスワードマネージャーで一元管理することが基本だ。特に金融系サービスでは、パスワードに加えて二要素認証（2FA）を必ず有効にしておくべきだ。

VPNによるプライバシー保護

データブローカーは位置情報やブラウジング履歴もデータソースとして活用している。NordVPNなどのVPNサービスを日常的に利用することで、IPアドレスから個人を特定されるリスクを軽減できる。特に公共Wi-Fi利用時には必須の対策だ。

クレジットモニタリング

米国居住者の場合、3大信用情報機関（Equifax、Experian、TransUnion）でクレジットフリーズ（信用凍結）を設定することで、自分のSSNを使った不正なクレジット申請を防止できる。フリーズは無料で設定可能だ。

日本への教訓——データブローカー規制の現状

日本では、個人情報保護法（2022年改正施行）により、データブローカー的なビジネスに対して一定の規制が存在する。特に「個人関連情報」の第三者提供に関する規制が強化され、Cookie情報などのデータを第三者に提供する際には本人の同意確認が義務付けられている。

しかし、日本にもデータブローカー的な事業者は存在する。DMP（Data Management Platform）事業者や名簿業者がその例だ。2014年のベネッセ個人情報流出事件（約3,504万件）では、名簿業者を通じたデータ売買の実態が明らかになり、個人情報保護法改正の契機となった。

米国との大きな違いは、日本にはSSNに相当する「マイナンバー」が存在するものの、マイナンバーの収集・保管には厳格な規制がかけられている点だ。特定個人情報保護評価（PIA）の実施義務や、マイナンバーの利用目的の厳密な限定など、米国のSSNに比べれば制度的な保護は手厚い。

とはいえ、油断は禁物だ。日本でも以下の点については改善の余地がある。

• データブローカーの登録・開示制度: 米国バーモント州のように、データブローカー事業者の登録を義務化し、消費者がどの企業に自分のデータが渡っているかを確認できる仕組み
• 削除権の実効性: GDPR（EU一般データ保護規則）のような「忘れられる権利」を、より実効性のある形で保障する制度設計
• 罰則の強化: 現行の個人情報保護法の罰則（法人に対して最大1億円）は、大規模事業者への抑止力として十分とは言えない

まとめ——今すぐ取るべき3つのアクション

Infutorの事件は、個人情報がいかに脆弱な状態で保管・流通しているかを改めて浮き彫りにした。「自分は大丈夫」という思い込みが最大のリスクだ。

1. パスワード管理の見直し: 全アカウントで固有パスワードを使用しているか確認する。1Passwordなどのパスワードマネージャーを導入し、二要素認証を最優先で有効化する
2. データ流出の確認: Have I Been Pwned などのサービスで、自分のメールアドレスが過去の流出データに含まれていないかチェックする。該当する場合は直ちにパスワードを変更する
3. プライバシー対策の強化: NordVPNでブラウジング時のプライバシーを守り、SNSのプライバシー設定を見直して公開範囲を最小限にする。不要なアカウントは削除する

データブローカー業界の構造的な問題は、一朝一夕には解決しない。しかし、個人レベルでできる対策を積み重ねることで、被害に遭った際のダメージを最小限に抑えることは可能だ。今回の事件を「対岸の火事」と見なさず、自分自身のデジタルセキュリティを見直す契機としてほしい。