[論文レビュー] GDPArrrrr: Using Privacy Laws to Steal Identities

James Pavur, Casey Knerr|arXiv (Cornell University)|Dec 2, 2019

Privacy, Security, and Data Protection参考文献 1被引用数 13

ひとこと要約

本論文は、GDPRのアクセス権が、150の組織が適切に身元を検証しなかったために、社会的工学的手法を用いた攻撃者が機密個人情報を不正に取得できる可能性があることを示している。著者らは、この新たな攻撃ベクトルを軽減するため、改善された身元検証、規制改革、技術的保護策を提案する。

ABSTRACT

The General Data Protection Regulation (GDPR) has become a touchstone model for modern privacy law, in part because it empowers consumers with unprecedented control over the use of their personal information. However, this same power may be susceptible to abuse by malicious attackers. In this paper, we consider how legal ambiguity surrounding the "Right of Access" process may be abused by social engineers. This hypothesis is tested through an adversarial case study of more than 150 businesses. We find that many organizations fail to employ adequate safeguards against Right of Access abuse and thus risk exposing sensitive information to unauthorized third parties. This information varied in sensitivity from simple public records to Social Security Numbers and account passwords. These findings suggest a critical need to improve the implementation of the subject access request process. To this end, we propose possible remediations which may be appropriate for further consideration by government, industry and individuals.

研究の動機と目的

• GDPRのアクセス権が、社会的工学的攻撃者によって機密個人情報を抽出する目的で悪用可能かどうかを調査すること。
• 組織における本人確認手続きの現実世界での実装状況、特に本人照会要求（SAR）プロセスにおける身元確認の実施状況を評価すること。
• SARの乱用を検知されずに可能にする、現在のGDPR準拠実務における構造的・法的弱みを同定すること。
• 組織、規制当局、個人が、SARの不正利用による身元盗用のリスクを低減するための実行可能な是正策を提示すること。
• GDPRが強力なプライバシー保護を提供しているにもかかわらず、法的・技術的保護策のギャップが存在することを強調すること。

提案手法

• 150の組織に対して、模擬的な不正なGDPR本人照会要求を送付し、現実世界の敵対的ケーススタディを実施した。
• 返信内容を収集・分析し、漏洩したデータの機密性と、身元確認措置の適正さを評価した。
• GDPRの「合理的な措置」（附属文書64条）に基づく身元確認の基準に照らし、組織の対応を評価した。
• 連絡手段の未検証や多要素認証の欠如といった、応答行動のパターンを同定した。
• 改善された確認プロトコル、政府後援の身元サービス、組織内研修を含む段階的対策フレームワークを提言した。
• 侵入テストにSAR不正利用のシナリオを統合することで、事前に脆弱性を特定するよう提案した。

実験結果

リサーチクエスチョン

• RQ1 社会的工学的攻撃者は、GDPRのアクセス権を悪用して、組織から機密個人情報を不正に取得可能か？
• RQ2 組織は、GDPRに従って本人照会要求に対して、十分な身元確認をどの程度実施しているか？
• RQ3 SARプロセスにおける構造的・法的脆弱性は、検知されずに乱用を可能にする要因となるか？
• RQ4 組織、規制当局、個人は、不正なSARによる身元盗用のリスクをどのように軽減できるか？
• RQ5 政府が認証した身元サービスは、機密書類の共有に依存するのを減らす役割を果たせるか？

主な発見

• 150以上の組織がテスト対象となり、その多くがSAR要求者の身元を検証しなかったため、機密情報が漏洩した。
• 組織は、公開記録から社会保障番号、一部のクレジットカード番号に至るまで、未検証の要求に対し、多様な機密データを提供した。
• 多くの組織が、一貫性や強固さに欠ける身元確認プロセスに依存しており、セキュリティの低い電子メールや基本的な連絡先情報に頼っていた。
• 明らかな不適切な要求に対しては、拒否の責任が組織に帰属するため、要求が疑わしくても拒否を避けがちである。
• 多くの組織がログインアクセスや政府発行の写真付き身分証明書の提出を義務付けておらず、攻撃の表面積が拡大していた。
• 本研究では、知識基盤認証（例：最近の購入履歴）が攻撃者によって、正当な当事者を模倣する目的で悪用可能であることが判明した。