もう一人のショーン・バーンは存在しない
原題: The other Sean Byrne doesn't exist
日本語訳
# もう一人のショーン・バーンは存在しない
今年初め、Appleは私が米国の政府による制限対象者リストの誰かと一致したと判断し、App Store Connectへのアクセスを拒否した。
彼らの説明は極めて断定的だった。
「お客様から提供された情報は、米国政府の統合スクリーニング・リスト、または他国の制裁リストに記載されている1人以上の制限対象者と完全に一致します」
彼らはすでに私のパスポートを保有していた。
私は法的氏名である「Sean Joseph Byrne」を回答し、運転免許証をアップロードした上で、照合対象となっている政府記録上の住所を指摘した。私はその住所に住んだことは一度もなく、スライゴ・カウンティに住んだこともなければ、関係のある企業との繋がりもない。私は、この件を制裁コンプライアンス担当者にエスカレーションし、適切な「不一致」の判定を下すよう求めた。
Appleからは、いまだに返信がない。
（画像キャプション：私の身元情報を確認した後のAppleの回答）
なぜこのようなことが起きたのか、私は分かっていた。これが初めてではなかったからだ。
Cloonmull House
米国政府の統合スクリーニング・リスト（Consolidated Screening List）で「Sean Byrne」を検索すると、まさに一つの結果が表示される。
Sean Byrne
Cloonmull House
Drumcliffe, County Sligo
Ireland
出典：産業安全保障局（BIS）エンティティ・リスト
追加日：2009年7月21日
ライセンス要件：EAR（輸出管理規則）の対象となる全品目
ライセンス方針：否認の推定（Presumption of denial）
統合スクリーニング・リスト自体は制裁リストではない。これは、商務省、国務省、財務省が管理する多数の輸出管理、制裁、その他の制限対象者リストを組み合わせた、米国政府のスクリーニング・ツールである。
この検索結果は、商務省産業安全保障局の「エンティティ・リスト」に由来するものだ。「EARの対象となる全品目」とは、米国企業が海外へ出荷できるものを規定する輸出管理規則を指す。「否認の推定」とはライセンス供与の方針であり、もし誰かがこの人物への輸出ライセンスを申請した場合、デフォルトの回答は「ノー」となる。それがこのリストの目的だ。これは輸出管理の手段であり、誰を雇用できるか、あるいは誰が株式を売却できるかについては何も言及していない。
検索結果に表示されている人物は私ではない。さらに興味深いことに、それは「誰でもない」ようにも見える。
このエントリーは、Mac Aviationというアイルランドの航空部品会社の訴追から生じたものだ。2009年、司法省はSean ByrneをMac Aviationの商務マネージャーと記載し、米国製航空機機器をイランへ不法に輸出したとして、Thomas McGuinnおよびSean McGuinnと共に起訴した。
しかし、Mac Aviationは会社を実態よりも大きく見せるために、従業員を捏造していたようだった。
Mac Aviationは、ベングルベンを背にしたドラムクリフ村の端にあるコテージで活動する父子の会社だった。訪問したロールスロイスの役員は、言葉を失ったという。彼がヘリコプターのエンジンを販売し、数百人の専門家を擁するグローバル企業だと思い込んでいた相手は、スライゴにある一軒の家だったのである。
（画像キャプション：背景にベングルベンを望む、スライゴ州ドラムクリフ）
より大きな企業であるという印象を維持するために、McGuinn親子は偽名を使って書類に署名していた。Sean Byrneはその一つだった。『サンデー・タイムズ』紙のジョン・ムーニー氏の報道によれば、その名前はあまりにも多くの会社書類に登場したため、米国の当局は「Byrneが実在すると確信し、彼を起訴しようとした」という。
司法省が2010年に元の起訴状に代わる改訂起訴状を提出した際、Sean Byrneは被告から外れていた。被告はMac Aviationと、ThomasおよびSean McGuinnであった。
さらに重要なことに、改訂起訴状では、Sean Byrneは「一または複数の共謀者が使用した偽名」であると繰り返し記述されている。このフレーズは、特定の請求書、電子メール、所有権声明に関連して15回以上登場する。Mac Aviationのスタッフは、米国のサプライヤーやイランの顧客に対してこの名前を使用していたのだ。
ある段階で、米国政府はSean Byrneが実際には別個の人物ではないことを見抜いたようである。それにもかかわらず、エンティティ・リストのエントリーは生き残った。16年経った今でも、そこには生年月日、パスポート番号、ミドルネーム、あるいはその他の有用な個人識別情報が一切記載されていない。基本的には、ありふれたアイルランドの名前、スライゴの住所、そしてアイルランドという国名だけである。
スライゴのCloonmull HouseはThomas McGuinnの自宅であり、起訴状ではMac Aviationの登録郵送先住所として記載されている。つまり、このエントリーはスライゴに住むある男の記録ではない。誰か他の人の家に紐付けられた名前なのだ。そして私は、スライゴに住んだことなど一度もない。
これは以前にも起きたことがある
アイルランドに戻る数年前、私は公開買付けを通じて株式を売却しようとした際、バックグラウンドチェックで私の名前が一致したとして、Nasdaqに注文を止められたことがある。
彼らのアカウント管理責任者からメールが届き、チェックの結果、過去の事件に関連する一致が見つかったこと、そして彼はそれが誤検知（false positive）であると確信しているが、コンプライアンス部門が私のカリフォルニアの住所に関する追加の証明を求めている、と伝えられた。電話越しに彼は詳細を話し、特にMac Aviationについて尋ねてきた。私はその会社とは一切関わりがないことを説明し、彼らが求めた追加書類を提供した。その後、売却は完了し、私は人々に話せる面白いエピソードを手に入れた。
（画像キャプション：バックグラウンドチェックで私の名前が一致した後のNasdaqの回答）
もっと最近では、カリフォルニアからStarlinkの取付ポールを注文した。SpaceXに代わって配送を行うDHLから、制限対象者との一致が問題であると告げられ、パスポートの提示を求められた。私はそれを送り、問題は解消され、ポールは届いた。また、DHLは、私が米国で注文した帽子を、パスポートのコピーなしではアイルランドの私に送ろうとはしなかった。
偽のSean Byrneは、イラン向けにヘリコプターのエンジンや戦闘機の部品、その他の米国製機器を調達しようとした試みに関連していた。本物のSean Byrneは、誰かが帽子を送ってくれる前に、時折パスポートを提示する必要がある。
Appleは異質だ。Nasdaqも配送業者も、どちらも誤検知を発生させ、解決のために十分な情報を求め、そして解決した。Appleはすでに私のパスポートを保有しており、運転免許証を受け取り、なぜ照合が間違っているのかについてのかなり詳細な説明も受け取っていたにもかかわらず、それでも私が制限対象者に「完全に」一致していると言い張ったのだ。
ロバート・ジョンソンという名の12人の男たち
こうしたことは決して新しいことではない。2006年10月、『60 Minutes』は、飛行機の搭乗に支障をきたしていた「ロバート・ジョンソン」という名の米国人男性12人を見つけ出し、彼らをニューヨークに集めた。政治家、サッカーのコーチ、実業家、そして現役の軍人までもが含まれていた。
彼らが混同され続けていたロバート・ジョンソンは、ロバート・ジョンソンという名の男ではなかった。それは、トロントのヒンドゥー教寺院と映画館を爆破しようと企てた罪で有罪判決を受け、すでに刑期を終えてトリニダードへ強制送還された人物が使用していた有名な偽名だった。12人の本物のロバート・ジョンソンを照合していた航空会社の係員が持っていた情報は、名前だけで、生年月日すらもなかった。
この件について尋ねられたFBIテロ対策センターの責任者は、「ロバート・ジョンソンがリストから消えることは決してないだろう。その名前を持つ者は、チェックインを試みるたびに不便を強いられることになる」と語った。
私はエンティティ・リストに載っているのではない。リスト上のエントリーと誤認されているのだ。Appleはその区別をつけなかった。
この問題の消費者版については、すでに訴訟に発展している。2005年、サンドラ・コルテスはコロラド州で車を購入しようとした際、TransUnionが彼女を財務省の制裁リストに載っている女性と照合したために足止めを食らった。その女性は、彼女の27年後に生まれた人物だった。信用調査機関は生年月日ではなく、姓名のみを比較していたのだ。陪審員は彼女に損害賠償を認め、第3巡回区連邦控訴裁判所も、生年月日を比較しなかったことは非難されるべきであるとして、その判決を支持した。セルジオ・ラミレスも6年後に自動車販売店で同じ経験をし、彼のケースは2021年に最高裁判所まで持ち込まれた。
どちらのケースでも、裁判所はより精度の高い照合を求めた。生年月日を比較すること。ミドルネームを比較すること。
しかし、私に利用できるそのような手段はない。そのリストには比較するための生年月日がない。ミドルネームもパスポート番号もない。なぜなら、その人物は存在しないからだ。完璧に機能するスクリーニング・システムであっても、記録に含まれる唯一の2つの事実、つまり「ありふれたアイルランド
原文（英語）を表示
Earlier this year Apple denied me access to App Store Connect after deciding that I matched someone on a U.S. government restricted-party list.
Their explanation was fairly definitive:
“The information you provided fully matches one or more restricted parties on the U.S. government consolidated screening list or another government’s sanctions list.”
They already had my passport.
I replied with my full legal name, Sean Joseph Byrne, uploaded my driver’s license, and pointed out the address on the government record they appeared to be matching me against. I’ve never lived at that address, never lived in County Sligo, and have no connection to the company involved. I asked them to escalate it to their sanctions compliance folks and make a proper non-match determination.
Apple still hasn’t replied.
Apple’s response after reviewing my identity information.
I knew what had happened because this wasn’t the first time.
Cloonmull House
Search the U.S. government’s Consolidated Screening List for Sean Byrne and you get exactly one result:
Sean Byrne
Cloonmull House
Drumcliffe, County Sligo
IrelandSource: Entity List, Bureau of Industry and Security
Added: July 21, 2009
License requirement: All items subject to the EAR
License policy: Presumption of denial
The Consolidated Screening List isn’t itself a sanctions list. It’s a U.S. government screening tool that combines a number of export-control, sanctions and other restricted-party lists maintained by the Departments of Commerce, State and Treasury.
The result comes from the Commerce Department’s Bureau of Industry and Security Entity List. “All items subject to the EAR” means the Export Administration Regulations, the rules governing what U.S. companies can ship abroad. “Presumption of denial” is a licensing posture: if someone applies for a licence to export something to this person, the default answer is no. That’s the entire purpose. It’s an export-control instrument but it says nothing about who can be employed, or who can sell shares.
The person in the search result isn’t me. More interestingly, it doesn’t appear to be anyone.
The entry came out of the prosecution of an Irish aircraft-parts business called Mac Aviation. In 2009, the Department of Justice described Sean Byrne as Mac Aviation’s commercial manager and charged him alongside Thomas and Sean McGuinn over the illegal export of U.S. aircraft equipment to Iran.
Except Mac Aviation had apparently invented employees to make the company look bigger than it was.
Mac Aviation was a father and son working out of a cottage on the edge of Drumcliffe village, Ben Bulben behind it. A Rolls-Royce official who came to visit was reportedly speechless. The company he had been selling helicopter engines to, and had taken for a global operation employing hundreds of professionals, was a house in Sligo.
Drumcliffe, County Sligo, with Ben Bulben in the background.
To keep up the impression of a much larger firm, the McGuinns signed documents with false names. Sean Byrne was one of them. John Mooney reported in the Sunday Times that the name appeared on so much company paperwork that the American authorities “became convinced Byrne existed and tried to indict him.”
When DOJ filed a superseding indictment in 2010, replacing the original, Sean Byrne was no longer a defendant. The defendants were Mac Aviation and Thomas and Sean McGuinn.
More importantly, the superseding indictment repeatedly describes Sean Byrne as an alias used by one or more co-conspirators. The phrase appears more than fifteen times, attached to specific invoices, emails and an ownership statement. Mac Aviation staff used the name with suppliers in the U.S. and customers in Iran.
At some stage the U.S. government appears to have worked out that Sean Byrne wasn’t actually a separate person. And yet the entry in the Entity List survived. Sixteen years later it still has no date of birth, passport number, middle name or other useful personal identifier. It’s basically a common Irish name, an address in Sligo and Ireland.
Cloonmull House in Sligo was Thomas McGuinn’s home, and the indictment gives it as Mac Aviation’s registered mailing address. So the entry isn’t a record of a man in Sligo. It’s a name attached to somebody else’s house. And I’ve never lived in Sligo.
This has happened before
Years before I moved back to Ireland, I was selling stock through a tender offer when Nasdaq stopped my order after a background check returned a match on my name.
Their Head of Account Management emailed me saying that the check had found a match associated with a previous incident and that he was confident it was a false positive, but compliance wanted additional proof of my California address. On the phone he gave me more detail and specifically asked me about Mac Aviation. I explained that I’d never had anything to do with the company, provided the extra documentation they wanted and the sale went through with an entertaining story to tell people.
Nasdaq’s response after a background check matched my name.
More recently I ordered a Starlink mounting pole from California. DHL, shipping on behalf of SpaceX, told me the problem was a restricted-party match and asked for my passport. I sent it, they cleared it and the pole arrived. DHL also wouldn’t send a hat I’d ordered in the U.S. on to me in Ireland without a copy of my passport.
The fake Sean Byrne was associated with attempts to procure helicopter engines, fighter-aircraft parts and other U.S. equipment for Iran. The real Sean Byrne occasionally needs to produce a passport before someone will send him a hat.
Apple is the odd one out. Nasdaq and the shippers both generated false positives, asked for enough information to resolve them, and then resolved them. Apple already had my passport, received my driver’s license and a fairly detailed explanation of exactly why the match was wrong, and still told me that I “fully” matched a restricted party.
Twelve men named Robert Johnson
None of this is novel. In October 2006, 60 Minutes found twelve American men named Robert Johnson who all had trouble boarding flights, and brought them to New York together. A politician, a soccer coach, businessmen and a serving member of the military.
The Robert Johnson they kept being confused with wasn’t a man named Robert Johnson. It was a known alias of someone convicted of plotting to bomb a Hindu temple and a cinema in Toronto, who by then had served his sentence and been deported to Trinidad. The airline agents checking the twelve real ones against it had a name and nothing else. Not even a date of birth.
Asked about it, the head of the FBI’s Terrorist Screening Center said Robert Johnson would never get off the list, and that anyone with the name would be inconvenienced every time they tried to check in.
I’m not on the Entity List. I’m being misidentified as an entry on it. Apple didn’t make that distinction.
The consumer version of this has been litigated. In 2005 Sandra Cortez was held up buying a car in Colorado because TransUnion matched her against a woman on the Treasury Department’s sanctions list who was born 27 years after her. The credit bureau had compared first and last names only, not dates of birth. A jury awarded her damages and the Third Circuit upheld it, describing the failure to compare birth dates as reprehensible. Sergio Ramirez had the same experience at a car dealership six years later, and his case reached the Supreme Court in 2021.
In both cases the courts called for better matching. Compare the date of birth. Compare the middle name.
There is no version of that available to me. The listing has no date of birth to compare. No middle name and no passport number, because the person doesn’t exist. A screening system that does its job perfectly will still flag me, forever, on the only two facts the record contains: a common Irish name and a country.
Which is why arguing with companies one at a time is the wrong approach.
The real fake Sean Byrne
Remote hiring has developed a serious identity-fraud problem. It has also developed, somewhat unbelievably, a North Korea problem.
North Korean IT workers have been getting remote jobs at U.S. companies using stolen or fabricated identities, proxy interviewers and U.S.-based “laptop farms” that make workers overseas appear to be connecting from inside the United States. The FBI has been warning companies about it, and the DOJ has prosecuted schemes that successfully placed workers at more than 100 U.S. companies.
So if you’re hiring remote engineers, “is this person actually who they claim to be?” is now a legitimate security problem.
A new class of recruiting products is being built around that problem. They sit inside the software companies use to manage job applications, the applicant tracking system or ATS.
Tofu is one of them. Their pitch is that they screen every applicant across more than forty signals before a recruiter opens a résumé, and that when a screened applicant triggers a sanctions match the signal routes straight to compliance review. They are explicit that this has to happen early: screening at the background-check stage is, on their account, already too late, so it should run at application submission before any recruiter makes contact. They also say a candidate flagged by one of their customers is flagged across their whole customer network through their API. Brainner makes a similar case, checking applicants against 3.5 billion data points and flagging high-risk profiles before a recruiter reviews them.
Tofu says its database is built from analysed applicant profiles. Their homepage says more than 18 million. Most of their other pages say more than 5 million.
The sanctions screening these vendors describe is OFAC and the Specially Designated Nationals list, which is the right list for the risk they’re selling against: paying wages to a sanctioned person. I’ve no evidence that either company queries the BIS Entity List, and no idea whether any company I’ve applied to uses either product.
But screening my name against U.S. restricted-party data produces a false positive. It did at Nasdaq, at SpaceX, at DHL and at Apple. Four times in six years. And the industry’s answer to remote-hiring fraud is to run that class of check earlier, before a human is involved, and propagate the result across a network of employers.
Their whole thesis is that name screening produces false negatives: a North Korean operative using a stolen American identity passes an SDN check cleanly, because the check runs against the victim’s identity rather than the fraudster’s. That’s true, and it’s a good reason to build better tools. But it’s an argument that only points one way, toward more screening, earlier. Nobody is accounting for a real applicant who matches a listing for a person who was invented.
Mac Aviation fabricated an employee to make itself look like a bigger company. That fabricated employee ended up in an authoritative U.S. government database. Sixteen years later, an industry is being built to detect fabricated employees applying for technology jobs.
Has this cost me a job? I don’t know. I’ve spent my career in information security, much of it in the U.S., and I’m now applying for roles from Ireland. There have been jobs where I’ve a background that should at least get a conversation and I’ve heard nothing. That’s hardly remarkable on its own. Hiring is messy, roles get frozen, recruiters disappear and companies reject perfectly good candidates for reasons the candidate will never know. There is an entire website called Did They Ghost You?, so we’re not dealing with an unexplained phenomenon.
But Nasdaq told me it was Mac Aviation. DHL shipping on behalf of SpaceX asked for a passport and told me it was due to a hit against the restricted parties on the U.S. government consolidated screening list. Apple at least told me I’d matched something, even if it then stopped talking. An applicant tracking system will tell me nothing at all.
Upstream
I asked the Bureau of Industry and Security’s End-User Review Committee to review the original Entity List entry. I’m not sure anything will come of it. The normal process is designed for a listed person asking to be removed, which creates an interesting problem here. I’m not the listed Sean Byrne, and the available evidence suggests that person may never have existed.
For now the U.S. government’s screening data still says Sean Byrne, Cloonmull House, Drumcliffe, County Sligo.
I’ve still never lived in Sligo.