変な記事だね。一つには、研究者が「彼らは信じている」と言ってるけど、どうやら確信が持ててないみたい。IDMeritはそのデータの所有者ではないと否定してるし、パートナーもいないって。どこでどうやってこのデータベースを見つけたのか、詳細がほとんどない。もしかしたら、何かの悪戯か身代金要求の試みか？それとも、本当にインターネット上に数十億の未確認のプライベートデータベースが放置されてるだけなのか。

データベースは存在すると思うけど、いくつかの詳細が合わないんだよね。IDMeritは「IDMERITのシステムとセキュリティインフラは一度も侵害されたことがない」とか、「このイベントの前後を含めて、パートナーのシステムからデータが漏洩したことはない」とか、「IDMeritは顧客データを所有、管理、保存していない」と言ってる。でもCybernewsは、通知を受けた後に「データベースをすぐに確保した」と言ってるし、IDMeritに関する理由も言ってないみたい（見逃したかもしれないけど）。全然意味がわからないよ。

記事の更新をまとめると、IDMeritはセキュリティ研究者に証拠を求めたけど、研究者は最初にお金を要求したからIDMeritは引いてしまった。IDMeritは、自分たちがハッキングされた証拠がないから、ハッキングされてないと言ってる。研究者はフリーランスで…CyberNewsのために働いてるし…もし誰かがIDMeritにフォローアップしても、彼らは影響を受けてないって言うだろうね。現時点で、彼らが脆弱だったかどうかを証明できるのはそのセキュリティ研究者だけだと思う。もし彼が名乗り出なければ、脆弱じゃなかったとしか考えられないけど、確証はない。これは今後の責任ある開示の良い教訓だね。…それに、規制されたソフトウェアビルディングコードが必要だっていう別の例でもある。遵守しない場合の罰則も必要だよ。もし誰かが認証なしで公開Mongoインスタンスをホスティングしていたら、州や連邦の機関に報告すべきで、他のコード違反と同じように実際の罰則が適用されるべきなんだ。そもそもそんな状態で立ち上げることを許可されるべきじゃなかった。ビジネスを監視するのはランダムな「セキュリティ研究者」じゃないはずだよ。

記録は必ずしもユニークとは限らない。名前の変更、住所の変更、電話番号の変更などがあると、こういうダンプに「新しい」記録ができることがある。

10億という数字には、1人あたり複数の記録が含まれるだろうね。例えば、俺（ドイツに住んでるドイツ人として、状況によるけど）がオンラインで銀行口座を開設する際に、これらの会社の一つと電話をしてパスポートの写真や情報を確認される。で、オンラインショップで分割払いを選ぶと、また同じことが起こる。小口融資の申請？同じこと。株式取引や暗号通貨の口座を開設？また電話がかかってくる。別の銀行からの分割払いも同じだし、身分証明を再確認する方がデータベースをチェックするより簡単みたい。これらはすべて別の記録になる。新しい身分証明書や住所、名前（結婚したかもしれないし）で確認されることもあるけど、ほとんどは同じデータが再確認されるだけ。どれも同じ身分証明サービスを使ってるわけじゃないけど、そんなに多くはないと思うし、同じ会社が異なるブランド名で運営してるってことも驚かないな。

運転免許証やパスポートをスキャンするプロセスが含まれてるなら、納得できるね。編集：これを再読すると、スケールの話をしてるのが明らかだね。元の記事はもっと良いよ: https://cybernews.com/security/global-data-leak-exposes-bill...

それか、テック系の経営者たちが子供にソーシャルメディアを使わせないって話。

彼らのデータも含まれてると思うよ、理由は二つある。まず、KYCのための本人確認データは、ファストフードやソーシャルメディアとはちょっと違って、KYCチェックを受けずに普通の生活を送るのはかなり難しいんだよね。（ビットコインで給料もらって現金で買い物するって言う人もいるだろうけど。）もしKYCが必要な金融商品やサービスに申し込んで、あなたに関する情報が見つからなかったら、その商品を拒否されるか、身分証明をするためにいろいろな手続きをしなきゃいけないことが多い。だからCXOたちにとって、自分のデータがこういうデータセットに含まれてるのはメリットがあるんだ。実際、給料が良ければ、平均的な人よりもKYCチェックが必要な活動が多いかもしれない。二つ目は、もっと単純な理由で、自分のデータは正確さがわかるから、良いテストケースになることが多いんだよね。

それにインフレに連動させるか、総収入の何％かにしないと、数年後には罰金を払う方が情報セキュリティ担当者を雇うより安くなっちゃうよ。