中国の顔と車のナンバープレートの膨大なデータベースがオンラインに流出

数百万の顔と車のナンバープレートを保存した中国の大規模なデータベースが、8月にひっそりと消えるまで何カ月もインターネット上に無防備のまま放置されていた。

顔認証が日常化しており、国家による監視が至る所に見られる中国では、このデータベースの内容は特筆すべきものではないかもしれないが、漏洩したデータベースの規模は驚異的だ。ピーク時には8億件以上のレコードが保存されており、規模で見ると今年最大のデータセキュリティ事故の一つであり、6月に上海警察のデータベースから10億件のレコードが漏洩した大規模データに次ぐ規模となっている。どちらのケースも、データは不注意による人為的ミスで漏洩した可能性が高い。

漏洩したデータは、中国東海岸の杭州に拠点を置くテクノロジー企業、新愛電子（Xinai Electronics）の所有物です。同社は、中国全土の職場、学校、建設現場、駐車場への人や車両のアクセスを制御するシステムを開発しています。同社のウェブサイトでは、建物へのアクセス以外にも、給与計算、従業員の勤怠管理やパフォーマンスの監視といった人事管理など、顔認証技術を幅広い用途で活用していることを宣伝しています。また、クラウドベースの車両ナンバープレート認識システムにより、スタッフが遠隔管理する無人駐車場でドライバーが駐車料金を支払えるようになっています。

新愛は広大なカメラネットワークを通じて何百万もの顔写真やナンバープレートを収集しており、同社のウェブサイトではそのデータはサーバー上に「安全に保管されている」と主張している。

しかしそうではありませんでした。

セキュリティ研究者のAnurag Sen氏は、中国のAlibabaがホストするサーバー上で同社のデータベースが無防備状態にあることを発見し、セキュリティ漏れをXinaiに報告するためにTechCrunchに協力を求めた。

セン氏によると、データベースには驚くべき量の情報が含まれており、日々急速に増加しており、数億件のレコードと、Xinaiが所有する複数のドメインにホストされている画像ファイルの完全なウェブアドレスが含まれていたという。しかし、データベースもホストされている画像ファイルもパスワードで保護されておらず、場所さえ知っていれば誰でもウェブブラウザからアクセスできていた。

テッククランチイベント

サンフランシスコ | 2025年10月27日～29日

データベースには、建設現場に入る建設作業員やチェックインするオフィス訪問者の高解像度の顔写真へのリンクに加え、氏名、年齢、性別、そして中国版国民IDカードとも言える住民ID番号といった個人情報が含まれていた。また、駐車場、私道、その他のオフィス入口に設置された新愛カメラによって収集された車両のナンバープレートの記録も含まれていた。

TechCrunchは、Xinaiの創設者と関係があるとされるメールアドレスに、公開されたデータベースに関するメッセージを複数回送信しましたが、返信はありませんでした。データベースは8月中旬にはアクセスできなくなりました。

しかし、データベースが漏洩した際に発見したのはセン氏だけではありません。データ脅迫者が残した日付不明の身代金要求書には、データベースの内容を盗んだと記載されており、数百ドル相当の暗号通貨と引き換えにデータを復元すると書かれていました。脅迫者が実際にデータを盗んだり削除したりしたかどうかは不明ですが、身代金要求書に残されたブロックチェーンアドレスから、まだ資金を受け取っていないことがわかります。

中国の監視国家は民間部門に深く浸透しており、警察や政府当局はほぼ自由にアクセスし、全国各地の人々や車両を追跡できる能力を持っている。中国はスマートシティの膨大な人口を追跡するために顔認識技術を活用しているだけでなく、長年にわたり北京が抑圧していると非難されてきた少数民族の大量監視にもこの技術を利用している。

中国は昨年、個人情報保護法を可決した。これは中国初の包括的なデータ保護法で、企業が収集するデータの量を制限することを目的としているが、中国の広大な監視国家を構成する警察や政府機関は広く除外されている、欧州のGDPRプライバシー規則の中国版とみなされている。

しかし、ここ数カ月の間に2件の大量データ漏洩が発生し、中国政府とハイテク企業の両方が、監視システムが収集する膨大な量のデータを保護する準備が整っていないことに気づき始めている。

10億件の膨大なデータ漏洩で中国の監視国家の実態が明らかに