欧州連合（EU）域内では、公共の場所へ行くときやイベントに参加するとき、新型コロナウイルス感染症（COVID-19）の陰性を証明する証明書「グリーンパス（Green Pass）」の提示が求められます。先日報じられたところによると、ハッカーフォーラムやTelegramチャネルで、何者かがグリーンパスを販売しています（英語記事）。この正体不明の詐欺師たちは、自分たちの能力を誇示して顧客アピールするために、アドルフ・ヒトラーの名前でグリーンパスを発行していました。この件に関して最も気がかりなのは、この偽証明書のQRコードが、有効なものとしてアプリの認証をパスすることです。事態はさまざまな疑念を呼んでいますが、この記事ではそうした疑念にできるだけ答えていきます。
「グリーンパス」とは何か
グリーンパスは、ワクチン接種済みであること、COVID-19から最近回復したこと、または48時間（迅速抗原検査の場合）または72時間（PCR検査の場合）以内の検査結果が陰性であったことを証明する証明書です。証明書に記載のQRコードを、専用のアプリで確認する仕組みです。EU加盟国のほか、イスラエル（元々の開発国）、トルコ、アイスランド、ウクライナ、スイス、ノルウェーなどの国々でも、グリーンパスは標準となっています（英語サイト）。
通常、グリーンパスは医療機関で発行されます。この証明書が求められるシーンは国によって異なりますが、旅行の際にグリーンパスが必須であったり、バーやレストラン、美術館を利用する場合や公共のイベントに参加する際に必要であったり、教育機関内、さらには仕事上で提示が求められたりもします。紙のグリーンパスもありますが、アプリにQRコードを追加して提示する形がほとんどです（リンク先は英語）。
彼らはどうやって偽の証明書に署名できたのか
インターネット上およびTelegramチャネルで、ポーランドやフランスの医療機関で発行されたと見られる偽グリーンパスが販売されています。なぜそのような偽造ができたのかについては、いくつか推論が展開されています（英語サイト）。ある説では、証明書を発行するための秘密鍵を手に入れたからではないかとしています。これが真実だとすると、正規のグリーンパス証明書は、おそらく再発行が必要となります。
このほか、フランスやポーランドの医療システム内に共犯者がいるとの説もあります。その場合、暗号鍵を再発行しても効果は期待できず、法執行機関がその内部関係者を探し出さねばなりません。
グリーンパスのシステム全体がセキュリティ侵害を受けたのか
少なくとも現時点では、EUのほとんどの国で発行されているグリーンパスは、これまでと変わらず合法的なグリーンパスです。疑わしいと見られているのは、ポーランドとフランスで発行されたグリーンパスです。
ポーランドとフランスで発行されたグリーンパスは無効化されるのか
現在、EU当局が事態を調査中です。最悪の場合、ポーランドとフランスは証明書を再発行しなければなりませんが、すべてを再発行しなければならないとはかぎりません。偽証明書を作成した者たちが発行日を操作できないのであれば、再発行対象は一部の証明書だけとなります。
偽のグリーンパスを買ったらどうなるか
お金の使い方は人それぞれですが、偽の証明書を持ってEU諸国を訪れるのが良い考えだとは言えません。まず、偽の証明書は取り消されるでしょう。また、お金が無駄になるだけで済む可能性は高いとはいえ、偽の証明書を買った人が偽造した人もろとも法執行機関のお世話になる可能性もあります。欧州の法執行機関と長丁場のやりとりをすることになる可能性も大いにあります。
私たちは、グリーンパス関連の詐欺はこれで終わりではないと考えています。近いうちに、さまざまな詐欺が現れる可能性は高いでしょう。しかし、今回の事件は、法執行機関の注目を集めることにもなるでしょう。欧州の公式医療機関以外のところからグリーンパスを取得することは、これ以外にもさまざまな理由からお勧めできません。