アシュレイ・マディソン事件は、オンラインで個人データを共有することに伴うリスクを浮き彫りにし、より良いデータ保護方針の必要性を明らかにした。複数の情報源が報じているところによると、不倫目的の出会い系サービスであるアシュレイ・マディソンの3700万人の利用者から盗まれた最大10ギガバイトの個人データが、 様々なトレント型ファイル共有サービスに ここ数週間で放出されている。
約1か月前、ハッカーらは顧客の機密情報を盗んだと主張し、アシュレイ・マディソンのウェブサイトが事業活動を停止しなければ、そのデータをオンラインに公開すると脅迫した。これは、同社がプラットフォームのデータベースから、追加で19ドルを支払えばユーザーのデータを永久に消去できるとしていた主張を履行しなかったことが引き金になったようだ。ハッカーらはさらに、登録ユーザーの自宅住所やメールアドレス、クレジットカード番号、性的嗜好、その他の機密データを公開したが、その登録ユーザーには米軍の兵士、CEO、政府職員が含まれている。
アシュレイ・マディソンの元最高技術責任者であるラジャ・バティアは、問題全体を 一蹴しようとした 。「過去3週間に公開されたデータの大半は偽物だ」と彼は述べた。しかし、今回のデータ流出は、関係者全員にとって深刻な結果をもたらしかねない、はるかに大規模な情報漏えいを明らかにしており、さらに数々の「不適切な慣行」やデータ保護方針上の問題も浮き彫りにしている。
まず、アシュレイ・マディソンの新規ユーザーに対するメール認証は存在しなかった（サービスの性質を考えれば無理もないことではある）。そのため、多くの人々は単に登録したことを否定するのが容易であり、実際にその主張が正しい可能性もある。また、この認証の欠如によって、多くのユーザーが偽の名前やメールアドレスを使うよう促された可能性が高い。（ただし、実名を使った人々にとっては残念なことだ。）さらに、外部からのハッキングを防ぐためにユーザーデータは暗号化されていると同サイトが主張していたが、それが機能しなかったことは明らかである。
AshleyMadison.comの所有者であるAvid Life Mediaが、約束どおりユーザーデータを永久に消去していなかったことが確認された場合、オンライン出会い系業界全体に対する信頼という点で、深刻な連鎖的影響が生じかねない。実際、こうしたサイトの利用者は、「細かい字句」を読み、利用規約や個人データの管理方法を確認することを心がけるべきだ。
こうしたサイトに登録する前に、次の4つの重要な問いを自らに投げかけるべきである。自分の個人データは実際に暗号化されるのか。誰がそのデータにアクセスし、利用する権限を持ち、どのように利用するのか。企業とその経営陣を信頼できるのか。そして、そのウェブサイトは安全な接続（https）を使用しているのか。
これらの対策で十分だろうか。おそらくそうではないが、良い出発点であることは確かだ。特にこれほど大規模な情報漏えいに直面している場合、用心に越したことはない。
執筆者：アンドレア・ストロッパは、世界経済フォーラムのためにセキュリティとテクノロジーについて執筆している。
画像：2015年8月20日、トロントでスマートフォンに表示されたAshley Madisonアプリを示す写真イラスト。REUTERS/Mark Blinch
