Dell EMCは12月15日、インターネットの闇市場で売られる個人情報の価格を調べた結果を発表した。最も高いのは銀行口座の24ドルだった。
サイバー攻撃者が盗んだ個人情報は、別のサイバー犯罪に悪用するなどの目的から闇市場で売買されている。複数のウェブサイトやサービスで同じパスワードを使い回すユーザーも多く、Dell EMCは、攻撃者がそうしたユーザーの情報を闇市場から調達し、その情報を使ってインターネット通販やオンラインバンキング、オンラインゲームなどを不正に利用することで、金銭的な利益を得ていると解説する。
Dell EMCは、小売、ソーシャル／ウェブ、旅行／レジャー、金融、テクノロジの5つの業界に関する個人情報の販売価格を調べた。業界ごとに最も高額な情報は、金融では銀行口座の24ドル、テクノロジでは通信の4ドル50セント、旅行／レジャーでは航空の10ドル50セント、ソーシャル／ウェブでは出会い系の10ドル、小売ではネット販売の8ドル50セントだった。
価格は、情報の内容や程度によって差があり、例えば、金融のオンライン送金サービスに関する情報は50セント～15ドル50セントと幅が広い。一方、小売では自動車用品に関する情報が70セント～1ドル程度で売られている。金融の情報は、攻撃者が狙う金銭に直結しやすいことから平均的に値が高く、ソーシャル／ウェブの情報は詐欺犯罪に使いやすいとして出会い系サイトの会員情報が高額な一方、SNSは3ドルと安い。
闇市場で売られる個人情報の値段（出典：Dell EMC）
個人情報を抱える組織が取り組むべき対策としてDell EMCは、まずこうした闇市場が存在し、現実世界の市場と同じような経済原理が働いていることを認識すべきだと解説。また、断片的な情報であっても複数の情報を組み合わせれば個人を特定できるため、本人を確認する方法を見直すべきとしている。
さらに、攻撃者が入手した個人情報が使えるかどうか試すため、企業では機械的、不自然に高速なふるまい、複数回にわたるログインの失敗、不自然な場所からのログインといった行動や、攻撃者が新規に作成したアカウントなどの行動も監視する必要がある。顧客にも自身の情報が悪用されるリスクを啓蒙し、自社のサービスを安全に利用してもらうための方法や仕組みを検討すべきともアドバイスする。
