Pillar 04 規制属性証明
KYC / AML / 規制属性を選択的開示で証明する層。
米ポートランド市：取引先を装う相手が、パスワード再設定のリンクで取引先登録に入り、工事代金を別の口座へ送らせた(米司法省ほか)
新しい振込先を、取引先の登録済みの連絡先で照合してから払う層が無い
ZUU：社内のビジネスチャットで役員を装った第三者の送金指示に基づき、同日のうちに外部の口座へ振り込まれた(同社の開示・特別調査)
送金の指示が本当にその役員から出たかを、振込の前に照合する層が無い
米ボルティモア市：取引先の社員を名乗る偽の担当者が取引先登録に加えられ、振込先が書き換えられた(市の監察官の報告)
担当者の追加と振込先の変更を、取引先の登録済みの連絡先で照合する層が無い
米リバティ市：取引先に似せたドメインから本物と同じ額の請求が届き、市が送金した(市の声明)
支払いの請求が本当にその取引先から出たかを、送金の前に照合する層が見えない
Orion S.A.：社員が詐欺の標的になり、複数の送金が外部の口座へ出た(米 SEC 提出書類)
同社が設計上は足りていたとする送金の統制が働かず、送金を照合済みの依頼に結びつける層が無い
はてな：警察を名乗る電話から経理部長の PC が遠隔操作され、社内の資金移動を経て資金が外部へ送られた(同社の開示・特別調査委員会)
送金と資金移動を、理由の裏付けと照合してから実行する層が無い
ソースネクスト：会員情報取得 API が悪用され、最大 2,252 万件の会員情報が取得された可能性がある(ソースネクスト発表)
取得の量と用途を、呼び出しのたびに確かめる層が無い
デンマーク CPR：民間企業 1 社の正規の照会権限が悪用され、約 880 万人分の氏名・住所・CPR 番号が引き出された(デンマーク研究・教育・デジタル化省発表)
照会の権限はあっても、照会のたびに対象が許された範囲かを確かめる層が無い
北朝鮮IT労働者：国内の支援者から提供された身分証の画像でその支援者になりすまし、業務を受注していた(日米豪独7機関の合同文書・国内初のラップトップ・ファーム解体)
身分証は本物でも、その持ち主と画面の向こうで働く人物を、業務を渡す前に結びつける層が無い
Revolut：イタリア政府の認証メール網から届いた開示要求に応じ、数か月にわたり顧客データを渡し続けた(PEC・伊検察が捜査中)
国が配達を証明しても、要求者の権限を開示の前に確かめる層が無い
IDScan.net：本人確認のために窓口へ渡した運転免許証のスキャン画像が、1 億 5,300 万件超ダークウェブで売られていた
確認は一度で終わるが、画像は残り続ける
AnonyMousKIT：AI 音声エージェントが「Apple サポート」を装い、盗難 iPhone の所有者から解除用パスコードを聞き出していた
パスコードを言えることが、所有者である証明として扱われている
Visa の EMV 非接触カードで、期限切れでも決済が通りうることが示された
端末が読む有効期限が、発行者の署名済み記録と照合されていない
FCA が Starling Bank を £29m 制裁：自動サンクション照合は、2017 年以降ずっと制裁リストの一部としか突き合わせていなかった
照合は動いていた
Speechify の音声クローン、同意の確認はチェックボックス1つだった
米消費者団体が FTC と州司法長官に調査を申し立て
A7A5：ルーブル建てステーブルコインが制裁下で累計 $110B を流した
取引は誰でも追えるのに、送金主体の制裁属性を実行時に証明・遮断する層がない（CertiK / Elliptic）
Sumsub：本人確認事業者のサポート環境に悪意ある添付ファイルから入られ、取引先の利用者の氏名・連絡先が約 18 か月気づかれないまま読める状態にあった(同社発表)
本人確認のために預かった個人データが、中心の外のどこに残り、誰が読めるかを確かめる層が無い
Change Healthcare：MFA のない単一 Citrix アカウントへの侵入が、米国医療請求処理の 3 分の 1 を数週間停止させた
「パスワードを知っている」ことと「正規の権限者である」ことを切り離す層がなく、盗まれた認証情報が正規アクセスと区別できなかった（UnitedHealth Group 議会証言）
香港ディープフェイク会議詐欺（Arup）：英国本社の CFO と同僚を装った録画のビデオ会議を信じ、財務担当者が約 HK$2 億を 15 回に分けて送金した(香港政府の立法会答弁・Arup 確認)
送金の指示が本物かを、指示が届いたのとは別の経路で確かめる手順が無い
IDMerit：本人確認に使われたとみられる約 10 億件がパスワードの無い DB で見つかったと報じられたが、IDMerit は否認し、帰属は確定しないまま(Cybernews 報道・IDMerit 否認)
見つかったデータが誰の管理下にあったかを、記録で示せる層が無い
北海道の国立病院：廃棄を委託した電子カルテの HDD の一部が破砕されないまま流通し、ネットオークションで落札された(NHO 北海道医療センター・北海道がんセンター)
委託した媒体が確かに壊されたかを、委託元が 1 台ずつ確かめる層が無い
非同意の画像が、生成の時点で誰の同意も年齢も確かめられずに作られた
被写体の同意・年齢と生成物の来歴が、生成時点で独立検証されない構造（Grok）
年齢を証明するために渡した政府 ID 7 万枚が、第三者から流出した
規制属性（年齢）の証明と生 ID の保管が分離されていない構造（Discord / 5CA）
保全の実態がない森林から、カーボンクレジットが発行・販売されていた
環境属性の裏づけデータが、発行時に独立検証されない構造（ブラジル Operation Greenwashing）
AOG Technics：偽造された耐空証明書付きで、6万点超の航空機エンジン部品が出回った
耐空という規制属性を主張する証書の来歴が、受領の前に独立検証されない構造（SFO）
ポラリスHD・Booking.com：ホテルの売上金を受け取る口座が、正規の管理画面で第三者の口座に書き換えられ、1 ホテルで約 900 万円の損失が出た（同社開示）
振込先の変更を、お金が動く前に別の人が確かめる仕組みが無い
eKYC の顔認証を破る道具が Telegram で売られていた：仮想カメラで録画や合成の映像を差し込み、銀行・取引所のライブネス検査を通す(MIT Technology Review 調査)
届いた映像が、実在のカメラでその場で撮られたかを確かめる層が無い
検査は「完了」と記録されていたが、実施されていなかった
Boeing 787 で、記録の存在が実施の証明と取り違えられた
OnlyFake
AI 生成 ID による KYC 突破
認証試験データの改ざんによる型式指定の取得
製品の規制適合属性が独立検証されないまま出荷に直結する構造
国家資格の実務経験を満たさない技術者の現場配置
有資格者配置における規制属性の独立検証不在
Wirecard：実在しない 19 億ユーロを「銀行に残高あり」と偽った
金融属性が独立検証されないまま開示・市場に直結した構造
Coinbase KYC データ内部漏洩
規制が要求する生の個人情報の保管が、内部買収で漏洩面に転化した構造
Google API キー削除後 23 分有効
認証情報の失効属性の独立検証不在