Discordで7万人の政府IDが流出か？！公式が認めた可能性
引用元：https://news.ycombinator.com/item?id=45521738
もう冷めてるのかもだけど、これって本当に驚く？個人情報を渡す時って、もう”誰でもアクセスできる”って思ってる。TOSに書いてなくても売られるか、システムがハッキングされるかのどっちかだよね。特定の企業を責めるんじゃなくて、政府がセキュリティ対策をちゃんとしてないのが問題だよ。自分の情報がプライベートであるって期待はもう捨てた。本当にプライベートにしたい情報は、デジタル化させないようにしてる。
事実は驚くから報じられるんじゃなく、重要だから報じられるんだ。政府がどんどん年齢確認法を作って、個人情報が怪しい企業に渡ってる。今回の流出は、そういう法律が間違ってる証拠。このニュースが広まることで、法律改正への世論が高まるかもね。
ZK proofs での身元確認が早く普及してほしいね。君の意見に全面的に同意。個人情報を明かさずに身元を確認できる技術は既にあるのに、それが一般的に使えるほど堅牢になるには、まだ時間がかかるのが歯がゆいよ。
俺は企業（Discord含む）が、必要最低限じゃなく、できるだけ多くの情報を集めることを非難する。集められるデータが多いほど、結局売られたり、流出したり、ハッキングされたりするデータも増えるんだから。
政府は、子供じゃないか確認するために、身分証のチェックを義務付けてるんじゃないの？
これも、書面での合意もない会社に、大事な書類を喜んで送っちゃう人たちの問題でもあるよね。
それは実装によるね。EUのEuropean Digital Identity Walletは、他の個人情報を共有せずに18歳以上であることを証明できる機能を提供する予定だよ。
これで、年齢確認には十分だけど、流出しても無害なフェイクIDの需要が急増したりするのかな？
匿名って、2ドル払って誰かのを使えるってことだよね。
望んでないけど選択肢ないんだよね。アメリカもヨーロッパみたいに上から規制すべきだわ。
「ヨーロッパみたいに」ってのがよく分からんわ。ヨーロッパでは年齢確認にEuropean Digital Identity (EUDI)を導入しようとしてるけど、これじゃ逆にもっと酷くなるだけだろ…。
ロックダウンされたハードウェアなしでは無理。Googleとかのマーケティングは、デジタル権威主義をプライバシー重視に見せかけてる。利用者が制御できるソフトで年齢とかを証明できて、利用場所も証明元も知らないなんて、アクティビストが代理で証明を生成し放題じゃん。トレース不能でノーリスク。せいぜい証明プロバイダがIDごとの発行数を制限するくらいしかできないよ。
「企業じゃなくて政府の問題」ってのは違う。政府がID提示を要求するから問題になるんだ。データを収集しないこと以外にセキュリティ対策なんてないし、政府も何も提案できないだろ。もうデータは削除されないだろうな、身代金を払っても払わなくても。
年齢証明とアカウントが1:1で関連付けられてたら簡単に解決するんじゃないの？
これは面白い試金石になるな。規制当局は、年齢確認法の真の目的（未成年者への危害軽減）が本当にそうである時じゃないと、ZK年齢証明を認めないだろうからね。オンライン匿名性の終了とか、別の目的じゃない場合に。
これが本質的な点。いつも「誰か驚いた？」ってコメントが多いのがムカつく理由だよ。そういうのは議論の質を下げて、問題を軽視しちゃうからな。
EUが年齢確認法でやってることそのものだね。サービスプロバイダーは証明書を受け入れて、「X歳以上」って書いてあればOK。https://ageverification.dev/
企業がシステムを自前で実装しなきゃいけないのはおかしいだろ。政府が求めるなら、物理的な世界でIDカードやパスポートを提供するみたいに、証明方法も政府が提供すべきだよ。
いや、それどころか第三者はユーザーの年齢しか知らなくて、身元は分からないだろ。
じゃあ、それ匿名じゃないだろ。複数のアカウントで追跡できるし、そのうちいくつかは名前と紐付いてるんだから。変わらない年齢証明なんて、政府のID番号と一緒だよ。
年齢認証は中央サービスでやるべきだね。ウェブサイトにはアカウント情報なしで一度きりの証明書を渡せばOK。証明書にリクエスト元IDのハッシュを入れれば偽造も防げるし。ばあちゃんのIDを使う手は残るけど、企業が直接IDを見ちゃうよりプライバシー保護に繋がるからマシだよ。
証明書が毎回同じだと識別子になっちゃうし、匿名じゃなくなるよ。もし毎回違って匿名だったら、いくらでも作って売れるじゃん？誰がやってるか追跡できないなら、週に1サービスしか使えないとか、レート制限も必要になる？結局、本物の身元が分かれば匿名じゃないってことだよね。
IDの全部を保存する必要なんてないよね。生年月日、名前、書類番号だけで十分なはず。まあ、ユートピアで実際には無理だろうけどさ。
追記：写真が必要なのは医療系くらいで、年齢確認にまで求めるのはやりすぎだよ。
Apple Walletみたいな年齢確認システムが普及するかもね。Appleがウォレットに身分証を入れて、Discordとかのアプリに年齢確認APIを提供するんだ。DiscordはAPIに問い合わせるだけで、個人情報にアクセスせずAppleの年齢確認を使えるようになるってわけ。これで安全度が上がるかな。https://medium.com/@drewsmith_6943/apple-wallet-id-is-the-so…
プライバシー侵害は、情報提供者とサービス提供者が連携してユーザーを特定し、追跡したり匿名解除したりするのが問題なんだよね。[1] EUDIが破られないってのは甘い考えで、Googleとかもやられてるし時間の問題だ。しかもこれはもっとヤバい個人情報が入る。俺はDiscord5年使ってるけどIDは絶対アップしないし、年齢とか知られたくないわ。
ウォレットじゃなくて、’Xでサインイン’みたいなSSOがいいんじゃない？もしXが’大人である’って情報だけ提供するなら、政府IDが流出するのはXがハッキングされた時だけになるし、他のサイトはID自体にアクセスできないからね。まあ、ほとんどのXも結局ハッキングされるし、囲い込みは嫌だけど、全サイトにIDを渡すよりは全然マシだと思うよ。
長いことTSA Pre Checkを拒否してたんだけど、タイみたいな国じゃ生体認証を強制されるし、それがアメリカの怪しい機関に売られてるって分かってさ、結局諦めて受け入れたよ。
EUのシステムなら、Discordには18歳以上だって証明する期限付きの証明書を渡すだけでいいんだ。それが漏れても価値ないしね。今はマジのIDをアップロードしなきゃいけないから、漏れたら超ヤバい。だから、問題はあってもEUのやり方の方が全然マシだよ。
なんかパナマ文書を思い出しちゃったよ。大規模なマネロンとか脱税がバレても、’みんなやってることだし’って感じで誰も気にしなかったんだよね。
それって全部俺のコメントで話したことだよね？もう読んでないんじゃないの？
物理世界での身分証明の話ね。スウェーデンでは元々政府じゃなく郵便局とか銀行がIDカードを出してたんだ。EUに入ってEUID標準が導入されてから政府の仕事になったけど、オンラインでの身分証明は今でも銀行所有のBankIDって民間会社が担当してるよ。
URL: https://en.wikipedia.org/wiki/BankID_(Sweden)
もっとコメントを表示（1）
個人情報をサイトに渡さずに年齢証明とかできるって主張についてだけど、それは必ずしも正しくないよ。ZK（ゼロ知識証明）のセットアップによっては、証拠が再利用されたか分かるものもあるし、リンク可能なリング署名とか、ブラインド署名もそう。技術的な視点から反論してるね。
ほとんど無視されてるけど、機密性の高いID情報を扱うサードパーティの透明性が低いのが大きな問題だね。情報漏洩してもどこのベンダーが責任者か明かされないから、ユーザーは誰がデータにアクセスしたか分からないまま。この不透明さだと責任追及も遅れるし、監査もできないから、規制しないと将来も同じような漏洩が起きちゃうよ。
サードパーティの層って、データ漏洩における「ダークマター」みたいなもんだよね。ユーザーからは見えないし、企業もほとんど認めたがらない。で、何か問題が起きても、全く責任を取らないんだから困るよ。
そもそも、他人にデータを与えちゃうこと自体が最大の問題だよ。
DiscordはZendeskを使ってるのに、プレスリリースでは情報漏洩したサードパーティの名前を出してないし、Zendeskも関与を否定してるんだって。もしZendeskじゃないなら、Discordは他にどのサードパーティを使ってたんだ？誰の評判を守ろうとしてるのか気になるね。
URL: https://www.zendesk.fr/customer/discord/
こんなひどいことあっても企業同士がお互いを守り合ってるのが許せないよ。これってPR戦略なんじゃない？「サードパーティがやった」って言って責任逃れしてるだけだろ。誰がそれを確かめるんだ？内部告発者でもいないと真実は闇の中だね。本当に恥ずかしいことだよ。
Discordの言い方だと、Zendeskに落ち度がなくてもZendeskのアカウントが侵害された可能性もあるってことだね。Discordは意図的に情報を隠してる気がするよ。ぶっちゃけ、サポートスタッフが裏切ったんじゃないかな。
vx-undergroundが情報漏洩したグループと連絡取ったって言ってて、その投稿がサポートエージェントが原因っていう説を裏付けてるよ。Discord Zendeskは「BPO Agent」（外部委託のサポート）を突破されて侵害されたらしい。もちろん、いつものことだけど、彼らが嘘をついてる可能性も大いにあるけどね。
URL: https://xcancel.com/vxunderground/status/1976238815665856646
Zendeskが否定してるって話だけど、そのリンク、もし知ってたら教えてくれない？
企業ってIDは検証したらすぐ消すって言うじゃん？なんでこんな大量に流出しちゃったの？毎月何百万もID確認してんのかね？
以前の声明だと「年齢判定に異議申し立てした人の政府ID画像がごく一部流出した」ってあったよ。異議申し立ての処理にはIDが必要だし、それって優先度低くて時間かかるから、IDがずっと保管されてるのも納得できるかもね。詳細はここ見て：https://www.theverge.com/news/792032/discord-customer-servic…
オーストラリアだとDiscordのメッセージで「提供情報は年齢確認にだけ使って、その後は削除する」ってハッキリ書いてあるよ。
スクリーンショット：https://www.reddit.com/r/discordapp/comments/1nkrxcp/discord…
俺はまだID出してないし、顔スキャンをどうごまかすか考えてる。チャットアプリに政府IDなんて絶対送らないね。年齢区分も13～18歳と18歳以上で十分じゃん？デモグラフィック分析に協力したくないよ。
嘘をつくのって普通は合法だよね。たとえ特定のケースで違法だとしても、誰も罰せられないから、実質的には合法みたいなもんじゃん。
詐欺は合法じゃないよ。遊び場で嘘つくのと、ビジネスで詐欺を働くのとは違うからね。
Discordが記録持ってたのは「OK」って話だけど、やっぱ疑問だらけだよ。
1. 政府IDを預かるのに監査通ってるはずなのにハッキングされたってどういうこと？監査する人を誰が監査すんの？
2. これって、ネットで本人確認するのに「別の方法」が必要ってことの好例だよね。政府が民間企業にID保管を義務付ける前に、信頼できるシステムを確立すべきだったんだ。銀行レベルのセキュリティと規制が必要だよ。
Discordが政府ID文書を持ってたなんてバカげてるし、信頼してること自体が変だよ。
もう一度言うけど、詐欺って実質的には合法みたいなもんだよ。ビジネスの世界では、社内でも顧客相手でも、どこにでもある話だからね。
オーストラリアのRedditでDiscordのID導入が話題になった時、一番上のコメントは「Openfeintを調べろ」だったんだ。それを読んですぐにDiscordをアンインストールしたよ。大事なコミュニティに入ってるなら簡単じゃないけど、こんなに個人情報を軽視するのは受け入れられないね。
Discordみたいな企業がIDを見る必要なんてないよ。IDの持ち主（つまり政府機関）が本人証明サービスを提供すべきなんだ。
ユーザーは政府機関に身元を証明して、政府機関がDiscordに「このユーザーは本人だよ」って伝えればいいだけ。そんなに難しくないのに、世界中の議員がずっとこの件で手を抜いてるんだよ。
「Openfeint」ってのを調べてみたよ。Discordとの関連性を見つけるのにちょっと苦労したな。モバイルゲーマー向けのアプリで、日本のネットワークにつながってて、中国でホストされてるとか？よく分かんなかったけど。
Discord自体が直接漏洩したわけじゃなさそうだよ。前に参照した元の記事によると、Discordのサードパーティの顧客サービスプロバイダーが「不正な第三者」に侵害されたんだって。その不正な第三者は「Discordに直接アクセスしたわけじゃない」って会社は言ってるね。
データを削除するって約束が嘘か、それともサードパーティのベンダーがとにかくデータを保存してたかのどっちかだよね。
OpenFeintってDiscordを設立したのと同じ人が作ったんだよ。Wikipediaによると、OpenFeintは2011年にクラスアクション訴訟の当事者になったんだ。「OpenFeintのビジネスプランには、モバイルアプリ開発者、広告ネットワーク、Web分析ベンダーに、許可なく個人情報にアクセスし開示することが含まれていた」ってニュース記事は報じてるよ。
サードパーティの会社がIDを見る必要なんてそもそもないはずだよね。根本的には同じ問題だよ。
デファクトはデジュールと反対だから、法律が施行されてないからってそれが合法になるわけじゃないよ。
政府が年齢確認を安全な方法がないのに義務付けたり、間違ったやり方をしてる時、会社はどうすればいいんだろうね？
削除済みって言っても、ただデータベースの項目をそう変更しただけってことだよね。
もっと役に立つ考え方としては、民事上の違反は、誰かがそれに気づいて、やる気があって、訴訟を起こす費用を払える場合にだけ問題になるってことだよ。企業は議論の余地がある違法なことをたくさんやってるけど、それが実際の訴訟に発展することはめったにないんだ。
漏洩したのはIDを扱うシステムそのものじゃなくて、Discordのヘルプデスクソフトウェア（Zendeskだと言われてるね）だよ。もしそのシステムで問題があったら、Discordのヘルプデスクにサポートチケットを送って、IDを添付すれば、対応してくれるんだ。
損害賠償を求めるには、明確で法的に認められる損害が必要なんだ。しかも、訴訟費用に見合うくらい十分な金額で、自分に重大な責任がないことが条件だよ。一般人が損害だと思うことでも、民事裁判では認められないことが多いし、損害があったとしても、自分でどれだけ軽減できたか（しなかったかもしれないけど）といった要素で制限されるんだ。
俺の理解だと、これらはユーザーが認証プロセスに異議を唱えたサポート案件で、第三者に提出されたIDらしい。
問題は、流出したIDが未解決のチケットのものだったかどうかだね、もし俺の状況理解が正しければだけど。
もっとコメントを表示（2）
たぶん「コンプライアンス」のために、何年も全部保存しなきゃいけないんだろうね。
そうしないと、誰かが偽のIDを通過させちゃったときに、どうやって彼らが尻拭いするつもりなんだろう？
規制だと、身元確認会社はIDデータを最長3年間保存できるんだって。
だいたいプロバイダーは、不正検出のための機械学習モデルを訓練するためにそれをしてるんだよ。
Discordからオファーをもらってたんだけど、創業者の前の会社の失敗を知っちゃってね。
面接で話されたプラットフォームのビジョンが似てたし、彼がスパイウェアを導入し始めたのを見て、辞退することにしたよ。
良い質問だ。俺はDiscordじゃなく、政府や議員を責めてるんだ。ID発行機関はもっと早く安全なID認証機能を開発すべきだったのに、政策立案者は現実無視で急場しのぎの法律を通した結果がこれ。
社会生活でIDコピー提出は避けられず、企業間で情報が共有されてるけど、多くの企業はデータ処理がずさんで個人情報は闇ウェブで売買されがちだ。
政府は毎回「予期せぬ」と非難するだけで、個人情報が広範囲に拡散されてる根本問題を解決しないんだ。
TOSに削除するって書いてる？
もしそうなら、「すぐに」って書いてある？
どれくらいすぐに？
すぐ、それとも1ヶ月後とか？
契約書に明記されてないと、「すぐに」とか「間もなく」みたいな言葉は明確な定義がないから、彼らは技術的に契約違反なしに期間を伸ばせるんだ。
さらに、政府が一定期間のデータ保存を義務付けてることも多いから、そういう場合、企業はたとえデータを消したくなくても法的に保持しなきゃいけないんだよね。
あるいは、彼らの「内部ポリシー」に従って、全てがお墨付きなんだろうね。
それは「うん、最初にアップロードしたサーバーからは削除されたよ」って意味だけど、「削除前」に「あなたの利便性のため」に「別の安全なサーバー」に「移行された」ってこと。
そして「全ては同意済みのT&Cの通りで、我々は最高水準のデータセキュリティと安全に従っています。
お時間ありがとうございました」ってね。
もしKafkaが生きてたら、世界は自分を超えたって思うだろうな。
これでお金を請求されない限り、何も変わらないだろうね。
繰り返すけど、誰も合法だとは言ってないよ。
彼らが言ってるのは「事実上合法」ってことで、それは実際には合法じゃないけど、実質的に合法として扱われてるって意味だね。
「うちらじゃなくて、第三者ベンダーのせい」って言い訳が多すぎだよね。年齢確認で政府発行IDを集めるなら、誰がデータを扱ってもセキュリティ基準はめちゃくちゃ高くあるべきだよ。
でも、うちの下請け業者が、さらにその下の下請け業者だけを使うって契約で約束したんだ。そのまた下の下請け業者も安全を約束してるってね！皮肉だよ。
あー、君も政府の仕事したことあるんだね。
IDチェックは、潔癖さからくるものだけど、大手SNS企業には最高の贈り物だよね。彼らは (a) チェックの答えを知ってるし、(b) ハッカーを寄せ付けないリソースもある。こんな法律に抵抗が少ないのも納得だよ。
まるで大手SNS企業が、余計な官僚主義を推進したみたいだね、え？
意外にも、彼らは経済的な動機があるのに、思想的な理由でこういう規制に反対してきたんだよ。
ディズニーのアニメ「南部の唄」に出てくるブレア・ラビットとイバラの茂みみたいだね。つまり、罠にはまったと思わせて実は好都合ってこと。
企業の行動のせいでユーザーを責める必要はないよ。企業は法律で強制されたポリシーを適用するんだ。例えば、18歳以上を証明しないと特定のチャンネルを使えないとかね。ユーザーは自動年齢認証で苦労するから、推奨されてるサポートチケットで対応する。DiscordがIDを直接削除すると公表してるのを信用して、友達とつながりたいからIDをアップロードしたんだよ。なのにDiscordは約束を破ってIDを削除せず、流出させた。全責任は、ユーザーデータをずさんに扱ったDiscordとその第三者、そしてそんな慣行を強制する政府にある。DiscordはUKのICOに厳しく罰せられるべきだよ。僕らギークはIDチェックを回避できるけど、一般人はそうはいかない。この件が、政府によるIDチェック義務化への反発につながるといいけど、UK政府は「子供たちのために」って言ってDiscordに全責任を押し付けるだろうね。
[0] https://support.discord.com/hc/en-us/articles/30326565624343…
[1] https://support.discord.com/hc/en-us/articles/30326565624343…
13歳未満でBANされるのは、誰かが「この写真にロウソク何本？」って聞いて、君が「7本」って答えたら、そのメッセージを「君は何歳？」って編集されて、それで未成年BANになるせいだ。
みんなが見落としてるのは、Discordが新しいMSN Messenger、YIMなんかと同じってこと。
友達の連絡先やサーバーのバックアップなんてちゃんとしてないから、アカウントを失ったら、インターネットでの生活と友達をほぼ全部失うことになるよ。
DiscordはユーザーがBAN解除されたら1ヶ月以上IDを保持すべきじゃないし、1週間後には削除するか、その管理画面から完全に除去すべきだ。
「Discordは年齢確認に使ったIDを直後に削除するって公式ポリシー[1]を信用して、オンラインの友達と連絡を取り続けたいユーザーがIDをアップロードする」って部分。
これは少なくともユーザーにも一部責任があると思う。
会社が嘘をついたり、ポリシーを守らなかったりしても何の罰則もないんだから、こんな声明を信じるなんて、完全にバカ（少なくとも世間知らずすぎる）だよ。
どんな言い訳をしたって、Discordは信用できる会社じゃないし、これからも絶対に信用できない。
「政府IDをDiscordにアップロードする奴は、完全なモロン（バカ）」って意見、今でも全くその通りだね。
じゃあ「TeamSpeakサーバーに戻って自分でホストすればいいじゃん！」ってなるけど、普通のインターネットユーザーは開発者じゃないってことを忘れちゃいけない。
彼らが知ってるのは、たいていポイント＆クリックくらい。
だから、LinuxマシンやVMを立てて自分でチャットサーバーをインストールしたりなんて、知らないんだ。
Discordが人気なのは、地球上のほとんど誰でもポイント＆クリックでチャット「サーバー」を作れるからだよ。
もし誰かがそんな簡単にできる方法（cPanelとか）を見つけたら、Discordの牙城を崩せるだろうね。
英国にはICO（情報コミッショナーオフィス、https://ico.org.uk/）があって、データ保持ポリシーを守らなかったり、深刻な個人情報漏洩を防ぐ対策が不十分だったりする会社に罰金を科す権限があるんだ。
英国政府が会社のサービス利用にID検証を強制するなら、データ保護法もちゃんと施行すべきだよね。
政府は両方良いとこ取りはできないよ（特に英国政府は新しいデジタルIDを導入しようとしてるし）。
サービス利用のためにID提出を要求しておきながら、サービス側がやらかしても責任を問わないなんてバカげてる（まあ政府はバカを職業にしてるけどね）。
でも、それはユーザーのせいじゃない。
Discord（公開ポリシー通りに顧客データを保護しなかった）にも、政府（そもそもデータ収集を強制した）にも腹が立つね。
だってDiscordが最初からデータを持ってなければ、漏洩することもなかったんだから。
友達と連絡を取り続けたいだけで、IDを出すかアクセスを拒否されるかの二者択一に直面したサービスユーザーを怒ることはできないよ。（誤解のないように言うと、俺はこの漏洩では被害を受けてないけど、普通の人が毎日ネットをどう使ってるか見てるから、平均的なユーザーの視点は理解できるよ。）
もしこれが、企業が人のデータに関して怠慢だった初めてのケースで、誰も予想してなかったなら、もっと同情しただろうね。
でも、今はそれを予想しなきゃいけない時代だ。
企業は無責任だし、政府は罰しないというひどい実績がある。
データ流出は完全に日常茶飯事だよ。この事実を知ってて、インターネットを通じてIDを渡すのはすごく愚かだね。
このスレッドのトップポスター[1]が言ってることは正しい。
もはや、ウェブサイトに提出したり入力したりするものは、全て公開情報だと仮定しなきゃいけないレベルだよ。
高速道路の真ん中に飛び出したら、車に轢かれるだろうって予想するだろ。だから俺はそんなことしないんだ。
1: https://news.ycombinator.com/item?id=45522379
英国では、オンライン安全法を遵守するために、多くのUKユーザーがより「自由な発言ができる」（13歳以上向け）チャンネルを利用するには、Discordに身元証明をしないといけないんだ。
完全に被害者非難だよな。
なんかちょっと寂しいな。
2000年代半ばには、World of Warcraftで知り合った数人と、TeamSpeakサーバーを貸し出してる会社から借りてたんだ。
管理者としてそんなに大変なこともなく、すごく楽しかったのに。:(
人々の優先順位は君とは違うんだよ。だからって彼らがバカなわけじゃないだろ。
