ブラジルの保険会社Caixaで情報漏えい、全760万人の氏名とCPF番号が流出
Brazil's Caixa insurer breach exposes names and tax IDs of all 7.6M customers
Caixa Seguridadeの子会社Caixa Vida e Previdênciaが、11月6日に不正アクセスを検知。攻撃手法を特定・遮断したうえで外部のフォレンジック企業と調査を進めた結果、登録データベースから現・旧顧客を含む全760万人の氏名とCPF番号がコピーされ外部に持ち出されたことが判明した。一部には住所や電話番号、メールアドレス、生年月日も含まれる。保険金額や年金残高、銀行情報、パスワードなどの金融・認証データの漏えいは確認されていない。同社はANPDなどに報告し、該当顧客への通知と監視を進めている。
これまでの分析により、CVPの登録データベースから氏名とCPF番号（ブラジルの個人納税者番号）が露出したことが確認された。このデータベースには現顧客と旧顧客の両方が含まれ、稼働中の全760万人の顧客を網羅している。
HNでの議論
72- afh1
金融情報は漏れていない。漏れたのは税金IDだけだが、今のブラジルではそれは大した意味を持たない。過去には、事実上すべてのブラジル国民の個人データ（税金IDであるCPFを含む）を販売していたと報じられた著名なウェブサイトが複数あった。
ドラッグストアで何かを買うような些細なことでもCPFを求められるのは普通だし、政府機関や銀行とのあらゆる活動でもそうだ。これに加えて、長年にわたるブラジルの政府機関や民間機関での複数の情報漏えいが重なり、この情報は事実上公開されているも同然になっている。
もっと懸念されるのは、よりプライベートな情報が漏れたときだ。例えば、警察の防犯カメラのライブフィードや、ナンバープレートやCPFに基づく誰でも追跡できる情報が過去にオンラインで販売され、犯罪組織が判事の殺害未遂に使用した事例がある：https://www.poder360.com.br/justica/pcc-tinha-acesso-a-siste...
これは収集するデータの量を減らすことの重要性を浮き彫りにするが、ブラジルでも世界の他の地域でも、政府と民間機関の両方が逆の方向に進んできており、特に近年はそれが顕著だ。
- yakkomajuri
現時点で、ブラジルのすべての税金ID（CPF）はダークウェブで入手できるデータベースに載っていると確信している。
ここ数年でブラジルではあらゆるものの「CPF化」が進んだ。大多数の人々はこの番号を地元の食料品店、薬局、ジムなどに共有している。多くのことに対して要求され、他のことではかなり必要不可欠だ。
そう考えると、ここで漏れたのがそれだけならかなり良い結果だ。こんなふうに考えるのは悲しいが、まあそういうことだ。
もっと悲観的になるのは、金融データは露出していないと主張しているが、それが本当かどうか疑問に思うことだ。そしてそこにこそ金脈がある。なぜなら詐欺師たちは誰を狙うべきか分かるからだ。
- cesarb
知らない人のために言うと、私たちの税金ID（CPF）は基本的に公開情報だ。例えば、先日選挙があった。すべての候補者に関する公式情報を載せた公式公開サイト（https://divulgacandcontas.tse.jus.br/）には、全員のCPFが掲載されている。大統領のCPFを知りたい？そこにある。
悪いのは残りの部分だ。名前と電話番号が一緒になっていること、さらにこのリストに載っているということはCaixaの特定の商品セットのどれかを持っている可能性が高いということで、詐欺師が銀行のふりをするのがずっと容易になる。
- goshx
大したことじゃない。ブラジルではCPFが何度も漏えいしているので、おそらく全部がすでに出回っている。[0][1][2]
[0] https://cyberbrics.info/the-largest-personal-data-leakage-in...
[1] https://www.bitdefender.com/en-us/blog/hotforsecurity/massiv...
[2] https://www.lumiun.com/blog/en/data-breach-in-brazil-the-wor...
- airstrike
ブラジルの税金ID（CPF）は、アメリカのSSNのように厳重に秘密にされるべきものではないという点に注意することが重要だ。