米政府機関は依然としてクレジット履歴を認証に利用、Equifaxの1.4億人情報漏えいの教訓生かされず

多数のアメリカ政府機関がユーザー認証に依然としてクレジット情報を利用していることにGAO（米会計監査院）が強い警告を発した。
GAO（Government Accountability Office）は先週の6月14日にEquifax問題の現状分析と勧告を発表し、いくつも米政府機関がクレジット情報企業のEquifax、Experian、TransUnionのデータを本人認証に利用しているとしているとしてこれを中止するよう勧告した。Equifaxは2017年にハッカーに侵入され、被害者が1.4億人以上、史上最悪のデータ漏えい事件の1つとなっている。
米国の郵便公社（Postal Service）、社会保障庁、退役軍人省、CMS（メディケアおよびメディケイド運営センター）は新規ユーザーがサイトを閲覧しようとするとき本人確認のためにいくつかの質問をし、答えを本人のクレジット情報と比較していた。クレジット情報は本人以外知りえないはずだから認証データとして役に立つつという考え方だ。
GAOのレポートは「2017年のEquifaxのデータ漏えい事件でこうした手法は安全でないことが示された」と警告する。
Equifaxに達するハッキングで1億4800万人のクレジットカードデータが盗まれた。こうしたデータの多くの部分がデータ所有者の明示的同意なしに収集されたものだった。後日の調査により、このデータ

リンク元