ポルノハブは全米の州議会議員、司法長官、知事宛てに書簡を送り、現在法制化されつつある年齢確認手法は、同社の表現を借りれば「危険」だと訴えている。この書簡は未成年者をアダルトコンテンツから遠ざけるという考え方そのものに反対しているわけではない。むしろ、議員たちがその目的を達成するために選んでいる手段を標的にし、IDや生体認証に基づく確認システムは、すべての成人ユーザーの機密データを不必要に危険にさらすと警告している。
タイミングが重要だ。ここ数年、十数州で年齢確認法が次々と成立し、どの法律もアダルトサイトに対し、アクセスを許可する前に訪問者の年齢を確認するよう義務づけている。ポルノハブの書簡は、この立法の波への直接的な返答であり、これらの法律によって最も影響を受ける業界が、原則論ではなく、実装方法に対して異議を唱え始めたことを示している。
ポルノハブの書簡が実際に述べていること
書簡によれば、ポルノハブは議員に対し、現在義務化されつつある確認手法、とりわけ18歳以上であることを証明するためだけに、政府発行の身分証明書のアップロードや顔認証のスキャンをユーザーに要求するものについて、再考を促している。同社の主張は明快だ。こうした手法は、何百万人もの成人に対し、個人を特定できる情報を第三者の確認業者やプラットフォーム自体に渡すことを強いる。それによって、本来なら存在する必要のなかった機密情報の大規模な蓄積が生まれてしまう。
年齢確認そのものを拒絶するのではなく、この書簡はポルノハブが別の解決策を求めているという立場を示している。訪問者全員に、記録・保存・ハッキング・法的照会の対象となり得る方法で身元を証明させずとも、同じ子供の安全という目標を達成できる方法だ。このフレーミングは重要である。「年齢確認をすべきか」から「どのように安全に確認すべきか」へと議論をシフトさせるものだからだ。
IDと生体認証チェックが「危険」な理由
技術的な知識がなくても、中核となるプライバシー上の懸念は簡単に理解できる。運転免許証やパスポート、顔認証のための自撮り写真をアップロードするようユーザーに求めるシステムは、定義上、まさに個人情報泥棒やハッカーが最も欲しがる種類の情報を収集していることになる。そのデータを一時的にせよ中央集約することは、アダルト確認プラットフォームを高価値の標的に変えてしまう。
パスワードとは違い、運転免許証番号や顔スキャンデータは、漏洩後にリセットすることができない。もし確認業者やアダルトプラットフォームがデータ流出を起こせば、その影響は単に恥ずかしいというだけでなく、潜在的に永久的なものとなり、個人の実名と特定のアダルトサイトへの訪問履歴が結びつけられてしまう。ポルノハブの書簡が、より多くの州法がIDベースの義務化を既定路線として固定化する前に、議員たちに認識させようとしているリスクがこれだ。
また、これらのシステムは訪問先のプラットフォームだけに影響を与えるわけではないことにも留意すべきだ。多くの州では、実際のIDチェックを第三者の確認サービスが処理するよう義務づけており、つまりユーザーは、以前は全く確認の必要がなかったコンテンツにアクセスするために、名前も聞いたことがない企業に対し、取り返しのつかないデータを信頼して預けていることになる。
プライバシーを保護する代替手段は存在する
ポルノハブの書簡は単なる不平ではない。異なる何かを提案する売り込みなのだ。プライバシー重視の年齢確認手法はすでに存在し、誰であるかを一切明かすことなく、ユーザーが18歳以上であることを確認できる。ゼロ知識証明とも呼ばれる暗号学的アプローチを用いれば、デバイスやアプリが、基になるIDや生年月日を訪問先サイトに送信することなく、年齢の閾値を満たしていることを証明できる。これは、ユーザーのスマートフォンや信頼できる第三者が「はい、この人物は18歳以上です」という情報だけを伝え、氏名や住所、写真をアダルトサイトに一切知らせずに済ませられることを意味する。
これらの手法は仮定の話ではなく、子供の安全を求める声とプライバシーを求める声の両方を同時に満たすものとして、プライバシーと政策のコミュニティで盛んに議論されている。書簡の主張は、議員たちがこれらのより複雑だがはるかに安全な代替手段を推進するのではなく、最も単純で最も侵襲的な選択肢(IDと顔スキャン)にデフォルトしているという点にある。
これが広範な確認の状況にどう当てはまるか
この問題に頭を悩ませているのは米国だけではない。英国とEUは共に、アダルトコンテンツ、そして一部のケースではより広範なプラットフォームに対する義務的年齢確認へと動いており、どちらの地域でもプライバシーへの影響をめぐって同様の反発に直面してきた。3地域すべてに共通するのは、子供の安全を掲げて法律が成立し、その後、誰がデータを収集し、どのくらいの期間保存し、誰がアクセスできるのかといった実装の詳細が後追いで決められ、元の法案が受けたよりもはるかに少ない精査しか受けずに決まってしまう、というパターンだ。
意図と実装の間のこのギャップこそが、まさにポルノハブの書簡が狙いを定めている部分だ。そして、まさにそれが理由で、多くのユーザーが議員たちの解決を待っていない。以前、年齢確認法が大規模なVPN導入を促進しているという我々の記事で詳述した通り、年齢確認義務のない管轄区域からブラウジングしているように見せかけるためにVPNを利用し、これらの法律を丸ごと迂回する成人が増えている。
あなたにとっての意味
すでに年齢確認法が施行されている州に住んでいるなら、特定のアダルトサイトにアクセスしようとした際に、IDや顔スキャンのプロンプトにすでに遭遇している可能性が高い。ポルノハブの書簡は、この要件を一夜にして変えるものではないが、議員たちに対し、根底にある目標ではなく、確認手法そのものを再考するよう圧力を加えるものだ。
当面の間、実際的な現実として、多くのユーザーは、聞き慣れない第三者の業者に運転免許証のスキャンを預けるよりも、IDベースのチェックを完全に避けることを選択している。これは各ユーザーが行わなければならない個人的リスク判断であり、これらの法律に伴ってVPNへの関心が高まっている理由の一つでもある。
重要なポイント
- ポルノハブの議員への書簡は、年齢確認そのものに反対しているのではなく、具体的にIDと生体認証手法に反対し、成人ユーザーのプライバシーリスクだと指摘している。
- 中核的な懸念:IDと顔スキャンデータはパスワードのようにリセットできず、確認システムの漏洩は通常のデータ流出よりはるかに大きな被害をもたらす。
- 暗号化による年齢証明を含む、プライバシーを保護する代替手段はすでに存在し、本人確認せずに年齢確認が可能。
- 米国も英国とEUと同様に、子供の安全という意図と、プライバシーを侵害する実装の間で生じる緊張に直面している。
- 多くのユーザーは法整備を待っておらず、政策論争が続く中、実際的な代替手段を求めて、年齢確認義務への対応としてVPN導入がすでに増加している。
この議論が全米の州議会で展開される中、年齢確認のプライバシーリスクに関する根本的な問題が消えることはない。議員たちがポルノハブのような主張に耳を傾けるのか、それともIDアップロードや顔スキャンの義務化を続けるのかは、成人が合法的なコンテンツへのアクセスと引き換えに、どれだけの個人情報を差し出すよう求められるのかを形作ることになる。



や、[別のリークで浮上した支払いの申し立て](/en/luna-moth-extortion-group-leak-exposes-alleged-payments)を取り上げました。これらのリークを合わせると、機会主義者の緩やかな集まりではなく、組織化されたビジネスであることが示唆されます。
ここでは注意が必要です。元記事は短い要約であり、リーク文書自体はすべてが独立に検証されたわけではない主張です。しかし、それらが描写するパターンは、公開勧告がすでに警告してきた内容と一致しています。
## 電話担当者と技術的侵入者がどのように作業を分担するか
報告された構造から得られる実践的な教訓は、攻撃がリレー形式であるということです。1つのグループが人間的な側面を担当します。信憑性のある口実を構築し、標的を関与させ、特定の行動を取るよう説得します。別のグループが技術的な側面を担当します。その会話から得られたアクセスを利用してシステム内を移動し、データを取得します。
この分担が重要なのは2つの理由からです。
第一に、電話に出る人物は技術的に高度である必要がありません。彼らの仕事は説得です。標的が認証情報を渡すか、プロンプトを承認するか、ドアを開けるだけでよく、技術担当者がそこから引き継ぎます。
第二に、技術担当者はソフトウェアの欠陥を見つける必要がありません。正規のログインや信頼されたリモートセッションが渡されれば、彼らの作業の多くは通常の活動に見えます。これが、この種の攻撃を境界防御ツールだけで捉えるのが難しい理由です。
その影響は法律業界で顕在化しています。以前に取り上げた報道では、[Jones DayとMayer Brownが機密ファイルの盗難を確認した](/en/luna-moth-leaks-data-from-jones-day-mayer-brown)こと、そして少なくとも1件では恐喝要求が支払われないままオンラインで公開されたことが述べられていました。[法律事務所への攻撃増加とビッシング詐欺の拡大](/en/law-firm-ransomware-attacks-rise-as-vishing-scams-grow)に関する関連レポートも同じテーマを示しています。侵入経路はしばしばマルウェアではなく、人であるということです。
## 行動する前にフィッシングやビッシングの口実を見抜く
最初の段階が会話であるため、最良の初期防御はツールではなく習慣です。ITサポートを装う口実には、いくつかの共通した特徴があります。
- **緊急性。** 電話やメールは、何かが壊れている、期限が切れている、侵害されているので、今すぐ行動が必要だと言います。
- **一方的な連絡。** あなたはチケットを開いていないのに、誰かがその対応をしていると主張します。
- **アクセスの要求。** コードを読み上げる、ログインプロンプトを承認する、ソフトウェアをインストールする、リモートセッションを開始するよう求められます。
- **送信者が提供する折り返し番号。** コールバックフィッシングは、攻撃者が管理する番号にあなたが電話をかけることに依存しています。
対応は単純ですが、その瞬間には気まずいかもしれません。電話を切るか、返信をやめてください。その後、社内ディレクトリや公式企業サイトなど、本物であるとすでに分かっている番号やチャネルを使ってITチームまたはプロバイダーに連絡してください。メッセージ自体の連絡先情報は使わないでください。正当なサポート担当者は検証されても気にしません。
小規模組織は事前にルールを合意しておくべきです。受信通話を理由に、誰もログインの承認やリモートアクセスソフトウェアのインストールを求められることはない、というルールです。書面化されたルールは、個々の従業員からプレッシャーを取り除きます。
## 認証情報が盗まれた後の被害を限定する
最終的には誰かが騙されるものと想定してください。そのときの目標は、盗まれた認証情報をあまり有用でなくすることです。
**フィッシング耐性のあるMFAを使用する。** テキストメッセージやアプリのプロンプトで送られるコードは、電話で被害者から聞き出される可能性があります。ハードウェアセキュリティキーとパスキーは本物のサイトでのみ機能するように設計されており、電話担当者が最もよく要求するものを排除します。
**1つのアカウントが到達できる範囲を制限する。** 1つのログインで全てのファイル共有を開けるなら、1本の電話で全てが露出する可能性があります。役割ごとにアクセスを分離し、古い権限を削除してください。
**異常なリモートツールや大量転送に注意する。** 新しいリモートアクセスソフトウェアや通常時間外の大量データ移動は、レビューを引き起こすべきです。
**対応計画を用意する。** 誰に連絡するか、アカウントを迅速に無効化する方法、証拠を保全する方法を知っておいてください。恐喝グループは混乱と遅延に依存しています。
## これがあなたにとって意味すること
この種の攻撃の標的になるために法律事務所である必要はありません。同じ口実は、盗む価値のあるアクセス権を持つあらゆる従業員や個人に対して機能します。リークは、最も弱い点がしばしば、ある声を信頼するかどうかを誰かが決める瞬間であることを強く示しています。機密の顧客データやクライアントデータを扱っているなら、リークで描写された構造が優先事項を形作るべきです。まず検証し、より強力な認証でアカウントを保護し、1つのアカウントが到達できる範囲を減らしてください。
## 実行可能な要点
- 「ITサポート」からの予期しない電話は、既知のチャネルで確認するまで未検証として扱う。
- 受信通話者の要求でコードを読み上げたり、プロンプトを承認したり、リモートツールをインストールしたりしない。
- 重要なアカウントをセキュリティキーやパスキーなどのフィッシング耐性のあるMFAに移行する。
- 1つの盗まれたログインで全てが露出しないよう、アカウント権限を削減する。
- 必要になる前に、検証ルールとインシデント連絡先リストを書き留めておく。
Luna Mothのソーシャルエンジニアリング手法が機能するのは、説得力のある人間の声と忍耐強い技術的フォローアップを組み合わせているからです。今週、偽のITサポート電話への自社の露出を見直し、可能な場合はフィッシング耐性のあるMFAに切り替え、Luna Mothのリークとビッシング主導の恐喝に関する関連報道を読んで、これらの攻撃が実際にどのように展開するかを確認してください。](/api/img?p=articles%2F8210%2Fimage-0.jpg&w=640)
