MobiKwik、約1億1000万人のユーザーデータ流出疑惑に否定と法的措置の警告で対応

MobiKwikはインド最大級のモバイル決済ウォレットの一つであり、インドの規則が顧客に提出を求める本人確認書類——KYC情報、Aadhaar身分番号、カードおよび電話のデータ——を保有していた。2021年3月初旬、あるセキュリティ研究者が、MobiKwikに属するとされるデータセットが約1億1000万人のユーザーに及ぶ形でダークウェブのフォーラムに販売目的で出現したと報告した。

MobiKwikの対応は即座の否定だった。3月4日、同社はセキュリティ上の不備は見つからなかったと述べ、法務チームは研究者に対して厳格な措置を取るとした。ユーザーが確認を始め、流出したデータの一部が本物のように見えると報告すると、話はさらに大きくなっただけだった。インドのコンピューター緊急対応チームCERT-InはデータのサンプルをMobiKwikと共有したが、同社はそのサンプルは自社のデータではないと述べた。

否定は危機を封じ込めなかった。疑惑が公になり争われる中、インド準備銀行（RBI）はMobiKwikに対し、CERT-In認定の監査人によるシステムのフォレンジック監査を受けるよう命じた。本人確認データを扱う決済企業が、セキュリティに関する疑惑を規制上の審査に変えてしまったのである。

この事例は、MobiKwikが争い続けた侵害そのものよりも、その危機対応によって引用されるようになっている。機密データを保有する企業が漏えいしたと告げられたとき、それを否定し通報者を脅すことは、ユーザー、研究者、そして規制当局に検証を促す——そして企業の否定ではなく、規制当局の監査が語られるべき話になる。

否定と法的措置の警告が検証を招き、その結果RBIがフォレンジック監査を命じた。それにより語られるべき話は否定ではなく監査となった。

MobiKwikはインドの規則が求める本人確認書類——KYCおよびAadhaarのデータ——を保有していたため、流出疑惑は自動的に重大かつ注目度の高い出来事となった。

同社の最初の対応は、透明な調査を行う前の否定と研究者に対する法的措置の警告であり、それが話を小さくするどころか大きくした。

ユーザーとCERT-Inが主張を検証すると、否定は言い逃れのように見え、同社はデータを検証できる者に語りの主導権を奪われた。

セキュリティに関する疑惑を通報者との争いに変えたことでインド準備銀行を巻き込み、同社は今や通らなければならないフォレンジック監査を命じられることになった。

機密データを保有し、漏えいしたと告げられたとき、否定と法的措置の警告は裏目に出る。ユーザー、研究者、規制当局がそれを検証する——そして否定ではなく監査が語られるべき話になる。

MobiKwikはシステムへの侵害はなかったと主張し続け、RBIが命じた監査に協力した。この一件は、データセキュリティに関する疑惑を扱うべきでない方法の例としてインドで広く教えられるようになった。本人確認データを委ねられた企業にとって、漏えいの主張への対応それ自体が信頼の試練であり、防御的な否定は当初の疑惑以上の代償を伴い得る。