Sumsub：本人確認を担う事業者の社内サポート環境に18か月気づかず侵入され、利用者の氏名・連絡先が露出した

TL;DR

世界的な本人確認（KYC）事業者 Sumsub が、社内のサポート関連環境への不正アクセスを公表した。攻撃者は2024年7月、第三者のサポートチケット管理プラットフォーム経由で悪意ある添付ファイルを送り、サポート関連の社内環境へ限定的にアクセスした。露出したのは主に利用者の氏名で、一部の記録にメールアドレスや電話番号が含まれていた。Sumsub によれば、生体データ・本人確認書類の画像・銀行/決済情報・政府発行の身分証情報といった高リスクの個人情報はアクセス・侵害されておらず、本番の本人確認ワークフロー・顧客向け API・コア基盤にも影響はなかった。問題は、この侵入が約18か月（2024年7月〜2026年1月）検知されなかったことにある。本人確認という「属性を証明する」事業の周辺で、利用者の識別情報が社内環境に保持され、検知の前に長期間さらされていた。検出が18か月遅れても損害を最小化できるのは、保持と開示を最小化し、属性を選択的に証明する設計があるときである。検出と事前証明は代替ではなく補完である。

事案概要

対象: Sumsub（Sum and Substance Ltd、ロンドン拠点の本人確認/KYC・AML 事業者）の社内サポート関連環境
影響範囲: 限定的な数の顧客アカウントに関わる不正アクティビティ（具体的件数は非開示、“limited number”）
公表日: 2026-02-04（Sumsub 公式 newsroom）
侵入起点: 2024年7月、外部の攻撃者が第三者のサポートチケット管理プラットフォーム経由で悪意ある添付ファイルを送付し、サポート関連の社内環境へ限定的に不正アクセスした
露出した情報: 主に氏名。一部の記録にメールアドレスまたは電話番号（単独、または組み合わせ）が含まれていた
露出しなかった情報（Sumsub 公式が明記）: 生体データ、本人確認書類の画像、銀行口座/決済情報、政府発行の身分証情報、その他の高リスク個人情報はアクセス・侵害されていない
影響しなかった範囲: 不正アクティビティはサポート関連の社内環境に限局し、本番の本人確認ワークフロー・顧客向け API・コア基盤には影響しなかった。2024年7月以降の継続的な不正活動の痕跡は検出されていない
検知の遅延: 不正アクティビティは2026年1月に実施した社内セキュリティレビューで遡及的に発見された。侵入（2024年7月）から発見（2026年1月）まで約18か月
事後対応: 発見後ただちにインシデント対応を開始し、独立したフォレンジック専門家を起用、影響を受けた顧客に直接通知。技術サポート要員のアクセス制御の見直し、監視・検知能力の強化などを実施
核心: 「属性を証明する」ことを生業とする事業者の周辺（サポート）環境に、利用者の識別情報が保持され、その侵害が約18か月検知されないまま露出していた

タイムライン

2024-07: 外部攻撃者が第三者サポートチケット管理プラットフォーム経由で悪意ある添付ファイルを送付。サポート関連の社内環境へ限定的に不正アクセス。氏名中心の限定的な個人情報が露出
2024-07 以降: Sumsub は同時期以降の継続的な不正活動の痕跡を検出していない
2026-01: 社内セキュリティレビューで不正アクティビティを遡及的に発見（侵入から約18か月）
2026-02-04: Sumsub が公式 newsroom で security incident を公表。影響顧客には個別通知済みと明記
2026-04: 外部（Rekt 等）の指摘を契機に欧州メディアが追加報道。フランス利用者の連絡先データ露出として注目（通知の詳細日付は公開情報で未記載）

注: 事実関係は Sumsub 公式の security incident update（2026-02-04）を一次とする。露出/非露出データの範囲、侵入経路（サポートチケットの悪意ある添付）、production 無影響、18か月の検知遅延は公式の明記に基づく。影響件数・影響顧客の特定・各国利用者への通知の詳細日付は公開情報では非開示/未記載。

攻撃ベクター

悪意ある添付の送付: 外部攻撃者が、Sumsub が利用する第三者のサポートチケット管理プラットフォームに、悪意ある添付ファイルを含むチケットを送る
サポート環境への限定アクセス: 添付を起点に、サポート関連の社内環境へ限定的な不正アクセスが成立する。本番の本人確認系・顧客向け API・コア基盤とは分離された周辺環境
識別情報の露出: その環境に保持されていた利用者の識別情報（主に氏名、一部メール/電話）が露出する。高リスクの生体・ID画像・金融・政府ID は当該環境にアクセス可能な形で存在せず、侵害されなかった
長期の不可視: 侵入は約18か月（2024年7月〜2026年1月）検知されない。継続的な活動の痕跡は確認されていないが、初期アクセスとデータ露出は長期間気づかれなかった
遡及的発見と対応: 2026年1月の社内セキュリティレビューで発見。フォレンジック起用、影響顧客への個別通知、サポート要員のアクセス制御見直しと監視強化（侵入が起きた後に作動する事後の系列）

構造的論点

本事案は Pillar 04（規制属性証明）の kyc-aml-disclosure カテゴリに属する。中心的な失敗 primitive は、「属性（本人性）を証明する」ことを生業とする事業者の周辺環境に、利用者の識別情報が保持され、その侵害が長期間検知されないまま露出した点にある。Sumsub は高リスクデータ（生体・ID画像・政府ID）を本番系で保護しており、それらは侵害されなかった——これは設計上のデータ分離が効いた良い面だ。一方で、サポート関連の社内環境には氏名・連絡先という識別情報が保持され、そこが約18か月不可視のまま侵害された。属性証明の中核は守られたが、その周辺に滞留した識別情報が露出の対象になった。

本事案は Brief No.077（IDMerit、本人確認のために集めた約10億件が保護されないまま公開状態に置かれた）・Brief No.013（Coinbase、内部買収で KYC 生 PII が漏洩）・Brief No.052（Discord、年齢を証明するために渡した政府 ID 7万枚が第三者から流出）と同じ kyc-aml-disclosure の系列にある。いずれも「本人確認のために集めた・保持した属性データが、本来の検証目的の外で露出する」構造だ。本事案の固有性は、(1) 露出が本番の検証系ではなくサポートという周辺環境で起きたこと、(2) 高リスクデータは分離・保護されていたが識別情報は周辺に滞留したこと、(3) 検知が約18か月遅れたことにある。

secondary に、サポートチケット経由の添付という外部入力が社内環境へのアクセスに転じた点で identity-auth、保持された識別情報の所在・来歴という点で data-provenance を併記する。本人確認事業の信頼は「属性を証明できる」だけでなく「証明のために預かった属性を、必要最小限の保持と検証可能な所在管理に置けるか」にも依存する。

検出と証明の落差

Sumsub の遡及的なセキュリティレビューによる発見、独立フォレンジックの起用、影響顧客への直接通知、サポート要員のアクセス制御見直しと監視・検知能力の強化は、被害把握と再発防止に不可欠であり、本 Brief がその役割を否定するものではない。実際、これらの対応によって露出範囲（氏名中心、高リスクデータ非侵害）が特定され、影響顧客への通知が進められた。検出と事後対応は確かに機能した。

一方で、本事案では検出そのものが約18か月機能しなかった。侵入の痕跡が遡及レビューで初めて見つかるまで、サポート環境に保持された識別情報は不可視のまま露出していた。監視・SOC・侵入検知は重要だが、「いつ気づけるか」に依存する以上、気づくまでの期間は露出が続く。欠けていたのは、検知の有無に依存せずに露出の影響を抑える設計——属性を必要最小限しか保持せず、保持した識別情報の所在を検証可能に管理し、属性を選択的に証明する層である。規制報告・監査で「預かった属性をどこに、どれだけ保持し、誰がアクセスできたか」を立証する材料として、本番系が無事だったという事実だけでは、周辺環境に滞留した識別情報の所在・最小化の証跡にならない。

事前証明（pre-execution attestation）と属性の選択的開示は、本人確認のために預かる属性を「証明に必要な最小限」に絞り、保持する識別情報の所在・アクセス権限を改ざんできない来歴として固定する。属性は、生データを広く保持・複製せずに「この属性は検証された」ことだけを選択的に開示する形で扱う。こうすれば、サポートのような周辺環境が侵害され検知が遅れても、そこに意味のある識別情報の連結が滞留していない。検知の強化（detection 的な「いつ気づくか」）と、保持の最小化・属性の選択的証明（「そもそも何が露出し得るか」を絞る）は代替ではなく補完の関係にあり、両者が重なって初めて、本人確認のために属性を預ける関係を実務に安心して載せられる。

なお Lemma が証明するのは属性検証の事実と所在の来歴であり、あらゆる侵害の防止を主張するものではない。事後の検知が証明にならない論点は「AI 時代のサイバー防衛に残された、最後の層」（Lemma、2026-05）、行動前に独立検証する設計は「Proof-as-Auth: 鍵を一度も送らずにサインインする」（Lemma、2026-05）を参照。

対応経緯と業界動向

Sumsub: 2026-02-04 に公式公表。フォレンジック起用、影響顧客への直接通知、サポート要員のアクセス制御見直し、監視・検知能力の強化を実施。SOC 2 Type II・ISO/IEC 27001・27017/27018 の定期監査を継続
影響顧客の扱い: Sumsub は「影響を受けた可能性のある顧客には担当サポートマネージャー経由で直接通知した。連絡を受けていない顧客は本件の影響を受けていない」と明記。Bitget・Bitpanda・Bybit・Huobi・Wirex などは Sumsub の顧客として報じられているが、どの顧客が影響を受けたかは非開示であり、特定の顧客の被害を示すものではない
欧州での注目: フランス利用者の連絡先データ露出として欧州メディアが報道。本人確認事業者の侵害が「KYC チェーン」全体のリスクとして論じられた
規制の時計: 米 FinCEN は2026年4月 NPRM（Federal Register・コメント期間）を公表し、AML 関連の規則案を示した。本人確認・AML を担う事業者への要求が強まる中、預かる属性データの最小化・保護・所在管理が論点として共有された
業界横断の論点: 本人確認の中核系を堅牢化しても、サポートなど周辺環境に識別情報が滞留すれば露出面になる。属性データの保持最小化・所在の検証可能な管理・周辺環境のアクセス制御が、KYC 事業者の信頼を左右する論点として再認識された

Lemma による分析

本事案で露呈した検出と証明の落差（検知が18か月遅れ、その間サポート環境に滞留した識別情報が露出していた）に対し、Lemma は以下の設計を提示する。

属性の選択的証明: 本人確認のために預かる属性を、生データとして広く保持・複製せず、「この属性は検証された」ことだけを選択的に開示する形で扱い、露出し得る識別情報そのものを減らす
保持の最小化: 検証に不要な識別情報を周辺環境に滞留させない設計に寄せ、侵害時の露出面を構造的に縮小する
所在・アクセスの来歴固定: 預かった属性データの所在とアクセス権限を改ざんできない来歴として固定し、「どこに、どれだけ、誰がアクセスできたか」を検証可能にする
検知非依存の被害抑制: 検知が遅れても、保持の最小化と選択的開示によって、周辺環境の侵害が意味のある識別情報の連結に至らないようにする

検出（事後のフォレンジック・通知・アクセス制御強化）は被害の是正に、事前証明と属性の最小化・選択的開示（そもそも何が露出し得るかを絞る）は本人確認のために属性を預ける関係の信頼確立に、それぞれ相補的に働く。

設計と適用範囲は Pillar 04 — 規制属性証明および Seal を参照のこと。

Sources

Sumsub（公式 newsroom）: “Security Incident Update”（2026-02-04）— https://sumsub.com/newsroom/security-incident-update/
Europe Infos: “Identity-Check Vendor Sumsub Says Hack Went Undetected for 18 Months, Exposing French Users’ Contact Data” — https://www.europe-infos.fr/english/8326/identity-check-vendor-sumsub-says-hack-went-undetected-for-18-months-exposing-french-users-contact-data/
Fincrime Central: “The Sumsub Incident and the Future of Cloud Compliance” — https://fincrimecentral.com/sumsub-incident-cloud-aml-risk-management/
CryptoTimes: “Crypto KYC Gatekeeper Sumsub Hits Back After Rekt Raises Red Flags”（2026-04-15）— https://www.cryptotimes.io/2026/04/15/crypto-kyc-gatekeeper-sumsub-hits-back-after-rekt-raises-red-flags/

Brief 配布について

本資料は公開情報の構造化分析であり、特定組織への監査・診断・推奨ではありません。