本人確認ベンダー Personaの脆弱性でDiscordやLinkedInの年齢確認機能が露出ー個人情報漏洩リスクも|セキュリティニュースのセキュリティ対策Lab

投稿日時: 2026年02月26日更新日時: 2026年02月26日

本人確認ベンダーPersonaを軸に、年齢確認（age assurance）や本人確認（ID verification）の仕組みとデータ取り扱いを巡る懸念が、複数の大手プラットフォームで同時多発的に表面化しています。

1 概要
2 フロントエンド露出が何を意味するか
3 LinkedIn本人確認でも論点化
4 共通する論点

概要

Discordは2026年2月、世界中のユーザーに対してTeen-by-default（ティーン向けの安全設定を標準状態にする）を段階的に適用し、年齢制限のある機能や設定変更に必要な年齢保証を導入すると発表しました。顔年齢推定（動画セルフィー）や身分証提出など複数の方法をパートナー経由で選べる一方、プライバシー保護としてオンデバイス処理や迅速削除、年齢のみ取得などを掲げています。

セキュリティ研究者らが、DiscordやLinkedInの本人確認や年齢確認に利用されているソフトPersonaのフロントエンド要素が公開状態にあり、年齢確認フローの構造が観察できたと指摘し、攻撃者にとって手掛かりになり得るとして議論が広がりました。

Discordは、当該露出が直ちにユーザーデータへのアクセスを可能にするものではないという扱いがされつつも、DiscordがPersonaを年齢確認のパートナーとして継続しない方向に動いた点です。

報道では、英国でのPersonaによる年齢確認テストは終了し、Personaへの言及をサポート文書から削除するなど、提携見直しが進んだとされています。

さらに同じPersonaは、LinkedInの本人確認（青バッジ）でも利用されているとされ、データ共有先（subprocessor）や保持期間を含む説明が議論になりました。Persona CEOはLinkedIn上で、AI学習に使わないこと、生体情報の削除、その他データの削除期間、公開されているsubprocessor一覧は全顧客向けの最大集合で誤解を生み得ることなどを説明しています。

フロントエンド露出が何を意味するか

今回の露出指摘は、フロントエンドコードが公開されていたという点そのものよりも、年齢確認フローの内部構造を推測できる情報が揃っていたことに関心が集まりました。

フロントエンドは本質的にユーザー側に配布されるため一定の可視性があるのは自然ですが、実装詳細が過度に読み取れる状態だと、攻撃者がリクエスト形式や検証の癖、連携先を把握し、模倣トラフィックや探索を効率化できるという懸念が出ます。
Malwarebytesも、Personaのフロントエンド露出指摘がDiscordの年齢確認議論を加速させたと指摘しています。

LinkedIn本人確認でも論点化

Personaは年齢確認に限らず本人確認（いわゆるKYCに近い確認）でも利用されます。LinkedInの本人確認でもPersonaが使われているとして、データがどこまで収集され、どこに共有される可能性があるかが注目されました。Inc.comは、本人確認の裏側にいる第三者がデータを共有し得るという観点で報じています。
議論を受けてPersona CEOはLinkedIn上で、AI学習への利用否定、生体データの扱い、削除方針、公開されているsubprocessor一覧の読み方（全顧客向けの最大集合であり、個別顧客の利用範囲をそのまま示すものではない）について説明しています。

共通する論点

ベンダー依存はサプライチェーンリスクになる

年齢確認・本人確認は、外部ベンダーが提供するSDKやAPI、運用基盤に依存する構造になりやすく、プラットフォーム単体の安全対策だけでは完結しません。Discordが掲げるオンデバイス処理や削除方針も、ユーザーから見ればベンダーとの役割分担が分かりにくく、疑念が生まれやすい領域です。

フロントエンド露出は直接漏えいでなくてもリスクを増幅する

今回のような露出指摘は、即ちユーザーデータの流出を意味しない場合でも、攻撃者に探索の材料を与え、悪用の試行回数を減らします。年齢確認のように高価値データを扱う場面では、攻撃者の偵察コスト低下そのものがリスクです。

データ保持・共有範囲の説明が信頼のボトルネックになる

年齢確認や本人確認は、最小限の取得で成立させる設計が理想ですが、規制や不正対策の観点で付帯チェックが増えやすい領域です。そのため、保持期間、subprocessor、法執行機関対応条項などが曖昧に見えると、たとえ実態が限定的でも不信が膨らみます。LinkedIn関連の議論は、この点が顕在化した例です。

参照

Age verification vendor Persona left frontend exposed, researchers say

Persona pushes back against fears its age assurance tech isn’t secure

Verified LinkedIn users’ data is shared in shocking ways, report claims