10億人分の身元情報、開いたポート1つ──SIMスワップ犯罪の「食材」が丸出しに

10億の身元、1つの開放ポート、そして出荷準備完了のSIMスワップキット

設定ミスによりパスワードなしでインターネットに晒されていたMongoDBインスタンスには、約30億件の記録が格納されていた。そのうち約10億件が機密性の高い個人を特定できる情報を含んでいた。Cybernewsの研究者が2025年11月11日に発見するまで、いつからこの状態だったのかは不明である。この漏洩の原因はカリフォルニアの身元確認プロバイダーIDMeritにあるが、暴露されたのは名前や生年月日だけにとどまらない。通信キャリアのメタデータと電話番号も含まれており、これこそが産業規模のSIMスワップ集団がカストディアル取引所口座を一掃するために必要とする、まさにその材料リストなのである。

何が暴露されたか

データの分類を見れば、身元詐欺の業者にとって最悪の買い物リストといえる。1テラバイトを超えるインスタンスの中で、Cybernewsは以下を確認した。氏名と住所・郵便番号の組み合わせ、生年月日、国民ID番号、電話番号、性別、メールアドレス、各加入者に関連するモバイルネットワークを示す通信キャリアメタデータ、そして特定の身元がいつ、どの相手先に対して検証されたかを記録するKYC/AML検証ログである。これらのフィールドは単体では回復可能であり、時には過去の漏洩市場で安価に入手できることもある。しかし、この組み合わせは別だ。国民ID番号に現住所、通信キャリア、一致する電話番号、タイムスタンプ付きのKYC合格記録が加われば、機能的に公証された身元パケットが完成する。詐欺業者が本来なら4〜5の別ソースから収集しなければならない種類のバンドルである。

地理的な影響範囲は少なくとも26カ国に及ぶことが開示され、最も多い国は以下の通りである。

• United States: 2億300万件
• Mexico: 1億2400万件
• Philippines: 7200万件
• Germany: 6100万件
• Italy: 5300万件
• France: 5300万件

KYC/AMLログは別途言及に値する。これらは生の身分証明書だけではない。身元確認の監査証跡であり、攻撃者が読めば、どのフィンテックや取引所が特定の身元を既に信頼しているか、その信頼がいつ発行されたか、どの文書に対して発行されたかを知ることができる。これにより、詐欺の試みは冷淡な接触から温かみのあるなりすましへと変わり、裏付け書類は事前に検証済みとなる。

99日間の空白

Cybernewsは2025年11月11日に開放されたインスタンスを発見し、同日または直後にIDMeritに通知した。発見翌日の11月12日にデータベースは保護された。公開開示は2026年2月18日、つまり最初の発見から99日後であり、Cybernewsはこの遅延を、この機密性のデータセットに対する標準的な責任ある開示慣行と表現した。

しかし、IDMeritの対応は文書記録と一致しなかった。同社は「IDMERIT環境内に暴露、脆弱性、または不正アクセスは見つからなかった」と述べ、「IDMERITのシステムとセキュリティ基盤は侵害されたことがない」と付け加えた。また、「顧客データが侵害されたという兆候はない」とし、この事案が「身代金関連」の可能性があることを示唆した。この言い回しは慎重ではあるが、同時に、1テラバイトのデータセットがIDMeritの検証ログ付きで、研究者が偶然到達したMongoDBエンドポイントから認証なしで提供されていたという経験的事実とも矛盾している。同社の「独立したデータソースに関連するデータポート」が開放されていた可能性という、より狭い言い回しは、技術的には否定が成立する継ぎ目ではあるが、データベースに記載された個人への害がその区別によって少しでも軽減されるわけではない。

SIMスワップのパイプライン

SIMスワップという角度が、この漏洩を恥ずかしいものから武器化可能なものへと格上げする。Cybernewsは開示の中で、モバイルネットワーク情報を含む暴露された通信キャリアメタデータが「SIMスワップ攻撃を促進する可能性がある」と記述した。別途、通信キャリアメタデータと電話番号の組み合わせが「犯罪者が認証コードを傍受するために被害者の電話番号を乗っ取るリスクを高める」とも述べている。

その仕組みは十分に文書化されている。2024年の800万ドルSIMスワップ暗号通貨窃盗事件の連邦判決は、KrebsOnSecurityが詳細に報じた標準的なパイプラインを明らかにした。業者は高価値口座を標的にし、被害者のキャリアを特定する。小売店に入るか、キャリアの認証チェックを通過するのに十分な身元証明でコールセンターをソーシャルエンジニアリングし、番号を業者が管理するSIMにポートする。取引所からの受信SMSワンタイムパスワードを傍受し、口座をリセットする。このパイプラインの各ステップには摩擦点があり、その摩擦はキャリアでの身元確認である。IDMeritのデータセットはまさにその摩擦を取り除く。国民ID、住所、生年月日、現在のキャリアがスクリプトに貼り付ける準備ができていれば、以前は小規模な犯罪集団が被害者1人あたり数週間かけていた作業が、組み立てラインに集約される。

これが見出しの数字が隠す部分である。10億件の機密記録が10億件の悪い結果を意味するわけではない。これは、データベースが避けられない流通の中で断片として買い手に取得されるにつれ、数年間にわたる産業規模のSIMスワップの労働投入なのである。

なぜKYCプロバイダーが新たな攻撃対象となっているか

IDMeritの漏洩は孤立したものではない。クライアントにBitget、Bitpanda、Bybit、Huobi、Wirexを擁するSumsubも、2026年の早い時期に独自の侵害を被った。取引所管理者の漏洩とされる広範なパターン（最も議論された最近の例はKraken管理者の開示）から、身元収集の中央集権化が、取引所自体よりも豊かな標的のクラスを生み出したことが示唆される。取引所がハッキングされるとホットウォレットを失う。KYCベンダーがハッキングされると、すべての取引所のユーザー層の検証済み身元を一度に失い、これが次に数十の無関係な会場でのアカウント乗っ取りを可能にする。

構造的問題は、規制圧力が身元確認を少数の専門プロバイダーに集中させたことにある。専門化が品質を向上させるという妥当な理論のもとで、この集中化は、意図的に提案された場合あらゆるセキュリティエンジニアが警告するであろう、集中した単一障害点を正確に生み出した。コンプライアンス体制が収集を義務付け、市場力学が保管を集中させ、その保管がIDMeritが今示したように、誰かが気づくまで未知の日数、開放ポートに放置される可能性があるのである。

ディレクトリーへの影響：我々の評価

文書化された2025年または2026年の侵害を被ったKYCプロバイダーに依存する掲載取引所の扱いを、同プロバイダーが信用できる事後分析（でなく否定）を公開するまで格下げする。IDMeritの声明は条件を満たさない。Sumsubの侵害は新鮮すぎるため、同社を通じて身元フローをルーティングするプラットフォーム（Bybit、Bitget、Huobiなど）については、これらの会場で多くの口座タイプにとって依然デフォルトであるSMSベースの2FAに依存するユーザーにとって、SIMスワップリスクが高いものとして扱う。

具体的な推奨事項：読者が過去に、米国、メキシコ、フィリピン、ドイツ、イタリア、またはフランスの電話番号を使用して主要取引所でKYCを通過したことがある場合、キャリアメタデータが流通していると想定し、SMSベースの2FAをハードウェアトークンに置き換えるか、サポートされている場合はデバイスに紐付いた認証アプリに置き換えること。また、運用コストが許容可能であれば取引所口座に関連付けられた電話番号の変更も検討すべきである。新規登録の場合、我々が既にカバーするno-KYCの代替案は、もはやプライバシーの好みではなく、SIMスワップの緩和策である。

この漏洩の最も不快な教訓は、IDMeritが失敗したということではない。規制され、監査され、コンプライアンスに適合した経路が、犯罪市場が独自に収集できなかったであろうデータセットを日常的に生み出しているということである。

情報源

• Global data leak exposes billion records (Cybernews)
• IDMerit data breach analysis (Bright Defense)
• 1 Billion KYC Records Exposed in Massive Identity Data Leak (Quantrail Data)
• IDMerit KYC Data: One Billion Records Exposed (FinCrime Central)
• IDMerit data leak (Zyphe)
• kycisbad reference repository (GitHub)

編集履歴

• 2026-03-08 : Cybernewsの元の開示を取得し、国別の件数をソート可能なテーブルにスクレイピングし、合計をBright Defenseの記事と照合した。
• 2026-03-24 : IDMeritの否定を2回読み、「IDMERIT環境内に暴露なし」という言い回しを、バケットの帰属に関するCybernewsの方法論と比較した。
• 2026-04-09 : Sumsubのクライアントリスト（Bitget、Bitpanda、Bybit、Huobi、Wirex）を、IDMeritの下流フィンテックリストと照合して重複を特定した。関係がプレスリリースのみの3社は除外した。
• 2026-04-18 : KrebsOnSecurityの800万ドル判決に関する報道を手順の参考としてSIMスワップセクションを起草し、転売価格の憶測に逸脱した段落を削除した。
• 2026-04-26 : 最終確認：開放MongoDBの背後にいる可能性のある脅威アクターに関する憶測的な文を3つ削除し、CybernewsとBright Defenseの報告に文書化されている内容のみを保持した。