特別報告：Smart Africa の流出メールリストは同意なく入手された

BTW Media がプロファイルする「特別報告：Smart Africa の流出メールリストは同意なく入手された」は、公開証拠がインターネット基盤、ガバナンス、運用依存関係、市場での可視性と関連しているためです。

• 我々の取材では、回答者の圧倒的多数が Smart Africa に連絡先を共有したことを否定し、組織自体を知らないとしている。
• Smart Africa が大規模なメーリングリストを保有していることは非常に疑わしい。

何が起きたか：大量メールのミスで機密性の高い連絡先リストが露見

BTW Media の特別調査により、先月の不手際な送信でSmart Africa が流出させたメールの大部分が、所有者の同意なく入手されたものであることが判明した。

Smart Africa は「AFRINIC 選挙と CAIGA フレームワークに関するオンライン協議セッション」と題した招待状を、受信者を Bcc ではなく To フィールドに入れて送信し、AFRINIC に関連する多数のメールアドレスを他の受信者全員に晒した。独立系の報道によると、このメッセージは Smart Africa のプロジェクトマネージャーから送信され、その規模は数千件のアドレスに上り、単なる礼儀上のミスから重大なデータ漏洩事案へと発展したとされている。

取材が示すもの：大半の受信者が同意の概念自体を否定

BTW Media は、メールアドレスが流出した多数の AFRINIC リソースメンバーやネットワークオペレーターに連絡を取った。大多数は、Smart Africa とメールアドレスを共有したことは一度もなく、多くの場合「誰なのか全く知らない」と答えた。典型的な回答は「絶対にない」「いいえ、共有していない」「連絡先を共有したことも同意したこともない」「いいえ、メールを共有したことも、彼らのことを知っているわけでもない」といったものだった。取材に応じた複数の人物は、それ以上の接触を明確に拒否した。一部の回答者は、自分のアドレスが他で見つかる可能性は認めつつも――例えばエンジニアが ASN や IP リソースの技術担当窓口として登録される場合など――、技術的な WHOIS エントリは、インシデント対応とは無関係の大量送信に対する一般的な同意には当たらないと指摘した。

こちらもお読みください:Smart Africa が AFRINIC メンバーのメールアドレス数千件を流出

Smart Africa の説明が不十分な理由：公開データ vs 非公開データ

AFRINIC 関連の連絡先データには公開情報として 2 つの情報源が存在するが、いずれも Smart Africa が統合されたメーリングリストを保有する正当な理由にはならない。

• AFRINIC のメンバーページは、透明性のために組織名と所在地を掲載しているが、メンバーのメールアドレスをダウンロードまたは検索できる形では掲載していない。
• AFRINIC の WHOIS は、インターネット運用（不正利用、経路制御、インシデント調整）のための公式公開レジストリであり、誰でもアクセス可能だが、マーケティング用データベースではない。AFRINIC はさらに、大量の WHOIS データは運用または研究目的のためのものであると明記している。

対照的に、受信者が見える形で送信された Smart Africa のメッセージは、特定のリソース担当者や運用インシデントに関わる連絡ではなく、広範なメンバーグループを対象としているように見える。この目的と利用の乖離が、取材に応じた人々の批判の核心である。

こちらもお読みください:AFRINIC 紛争が IP アドレスを超える理由――それは自由の問題である

リスクプロファイル：セキュリティおよび法的義務の発動

レジストリに関連する流出アドレスは、AFRINIC やプロバイダーを装って認証情報を収集したり、不正なリソース変更を開始したり、支払いを要求したりするフィッシング詐欺師を引き寄せる。法的リスクも軽視できない。モーリシャスの 2017 年データ保護法（Data Protection Act 2017）は、個人データの侵害を認識した場合、管理者は 72 時間以内にコミッショナーへ通知することを義務付けており、リスクが高い場合には影響を受ける本人への通知義務も生じる。リストが AFRINIC またはその契約者から提供されたものであれば、管理者/処理者の役割や開示の法的根拠に関する疑問が生じる。Smart Africa がバラバラの情報源からリストをまとめた場合でも、処理の正当な法的根拠を示さなければならない。

高まる Smart Africa の役割――そしてより高い基準が適用される理由

Smart Africa は、アフリカのデジタル変革に向けた協議プラットフォームとしての立場を確立しており、最近では AFRINIC のガバナンス危機に対し、大陸全体で調整された回答を発表した。このガバナンスへの関与表明は、データ管理への期待をいっそう高める。インターネットガバナンスの結果に影響を与えようとする組織は、最低限のプライバシーとセキュリティ衛生基準を遵守すべきであり、それにはリストへの厳格なアクセス制御、明示的な同意（オプトイン）の記録、そして外部への送信すべてにおける Bcc のデフォルト使用が含まれる。

こちらもお読みください:AFRINIC の秘密の「改革委員会」がアフリカのインターネットガバナンスに新たな懸念を呼ぶ

Smart Africa が今答えるべきこと

• 入手経路：Smart Africa は、AFRINIC のサイトでは公開されていないメンバー同様のメーリングリストをどのように入手したのか？ AFRINIC の情報源から受け取ったのであれば、その法的根拠と移転を規定する合意は何か？ 外部で収集されたのであれば、処理の根拠と目的制限は何か？
• 侵害対応：このデータセットの管理者は誰か、また 72 時間以内の必要通知は発動されたか？ 影響を受けた人々はフィッシング詐欺に対する警告（DMARC/DKIM/SPF の助言を含む）と、救済のための連絡先を提供されているか？

読者のための背景：WHOIS の役割とその限界

情報源が提起する微妙な点を理解するには、IANA が AS 番号の範囲を地域レジストリに割り当て、各 RIR が WHOIS を公開しているため、エンジニアが適切な担当者に迅速に連絡できるようになっていることを思い起こすと良い。AFRINIC 地域において、この透明性は経路安定性の基盤であるが、同意のない大規模な政治的または戦略的動員を許容する白紙委任状ではない。

取材の結論

我々が連絡を取った人々の主なメッセージはシンプルだ。彼らは Smart Africa に同意しておらず、自分のメールがどうやってリストに載ったのか知らない。Smart Africa は、リストの入手経路について検証可能な説明を行い、データ保護義務への準拠を示さなければならない。AFRINIC コミュニティからの批判は合理的かつ十分な根拠に基づいている。