大麻クラブ利用アプリ「PuffPal」、100万人分のパスポート情報を漏洩
スペインの大麻クラブで使われる会員管理アプリ「PuffPal」に重大なセキュリティ欠陥が見つかり、最大100万人分のパスポートや運転免許証、個人情報が外部からアクセス可能な状態で公開されていた。研究者がアプリを解析したところ、Stripeの秘密鍵が平文で埋め込まれていたほか、会員IDの数字を変えるだけで誰のプロフィールも閲覧可能だったという。専門家は「高価値なパスポート情報が低セキュリティの認証システムで使われた結果」と警鐘を鳴らしている。
背景メモ
- **PuffPal** はスペインの cannabis club（大麻クラブ／ソーシャルクラブ）向けに作られたスマホアプリ。会員登録・入退場・購入履歴などを管理する。運営元は **Nefos** という企業。
- セキュリティ研究者 Sammy Azdoufal がアプリを解析したところ、パスポートや運転免許証の画像が「https://ccsnubev2.com/v8/images/_{club}/ID/{user_id}-front.jpg」といった推測可能なURLで一般公開されているのを発見。Stripeの秘密鍵もアプリ内に平文で埋め込まれていた。
- 結果、全世界から約100万人分の本人確認書類（パスポート等）が漏洩。電話番号、住所、好みの大麻の種類、月間摂取量なども含まれる。著名人のデータも含まれており、プライバシー被害は深刻。
- **Bruce Schneier**（著名なセキュリティ専門家）の指摘が重要：パスポートのような「高価値な認証情報」が、cannabis clubの年齢確認という「低価値な認証システム」に流用された結果、そちらが破られて高価値情報が流出した、という構造。
- より広い論点：世界中で進む「オンライン上のあらゆる行為に年齢確認を義務付ける」法規制の流れは、同種のID情報の集中と漏洩リスクを不可避的に拡大させる。