損害保険ジャパンが10月7日、事業者向けの通信機能付きドライブレコーダー「SMILING ROAD（スマイリングロード）」の問い合わせ対応に使っていた委託先のシステムが不正アクセスを受け、延べ約6万件の問い合わせ情報が漏えいした可能性があると公表した。問い合わせの主な送り手は、このドラレコを導入した企業で働く従業員だ。
漏えいの恐れがある項目には、氏名や住所に加えて、勤務先、運転者ごとの ID、運転中に出た警告の種類と日時まで入っている。社用車を運転する人が、会社の選んだサービスを通じて巻き込まれた形になる。自分が対象かどうかの見分け方と、この情報の組み合わせで何に気をつけるかを整理する。
対象は、会社のドラレコについて問い合わせた人
SMILING ROAD は、企業が社用車に取り付け、運転の振り返りや安全運転の指導に使うサービスだ。損保ジャパンは、このサービスのよくある質問と問い合わせの窓口に、スカラコミュニケーションズの FAQ システム「i-ask」を使っていた。
スカラ社によれば、第三者が10月2日20時33分ごろから3日8時1分ごろにかけて i-ask の管理サイトに不正ログインし、不正なプログラムを置いた。損保ジャパン自身のシステムへの不正アクセスは確認されていない。
約6万件は人数ではない。同じ人が何度か問い合わせた分も重ねて数えた延べ件数で、実際の人数はこれより少なくなる。スカラ社は、同じサーバーで動いていた最大5社の問い合わせ、延べ最大71万3,126件が漏えいした可能性があるとし、実際の人数は名寄せの途中だとしている。10月6日に公表したシチズン時計も、同じ委託先のシステムを使っていた（「シチズンの問い合わせフォーム、約10万人分に漏えいの恐れ」）。
含まれないと明記された情報もある。金融機関の口座、クレジットカード、マイナンバーカードの情報だ。情報の不正利用や、ネット上への公開・拡散も、現時点では確認されていない。
名前と勤務先と運転の警告が、一つにそろう
この件で気になるのは、項目の組み合わせだ。
- 本人の連絡先: 氏名、電話番号、住所、メールアドレス
- 勤務先: 法人名、部門名、業種、代理店名など
- 運転にかかわる情報: ドライバー ID、運転アラートの種類と発生日時、ドラレコのシリアル番号、申込番号
- 書いた文面: 問い合わせの件名と本文
カード番号のように、すぐにお金へ換えられる情報ではない。そのかわり、どこの会社の誰が、いつ、どんな警告を出したかを知っている人を装う材料になる。損保ジャパンも、氏名や問い合わせ内容を使って同社や関係者を装う電話・メールの詐欺が行われるおそれがあると注意を促している。
勤務先の部署名と、先月の警告の日時を正確に言い当てる電話がかかってきたら、多くの人は本物の連絡だと思うだろう。言い当てられたこと自体は、相手が本物である証拠にならない。
会社に聞き、番号は自分で控える
手を動かすなら、次の順番になる。
- 会社が SMILING ROAD を使っているかを聞く — 社用車のドラレコがこのサービスかどうかは、社内の安全運転や車両の担当者に聞くのが早い。使っていて、ドラレコやアプリについて問い合わせた覚えがあれば、対象になりうる
- 個別の連絡は、届かないこともある — 損保ジャパンは対象者に個別に連絡するとしつつ、連絡が難しい人には今回の公表をもって連絡に代えると書いている。連絡が来なくても、対象から外れたとは限らない
- 窓口の番号は、公表文から自分で控える — 不審な連絡にあるリンクや添付ファイルは使わず、身に覚えのない連絡は同社のお客さま専用窓口（0120-268-567、平日9時〜17時）へ、と同社は案内している。届いた連絡に番号が書かれていても、公表文に載った番号へ自分でかけ直す
- 自分が書いた文面を思い出す — 件名と本文も項目に入っている。問い合わせの中に、勤務の予定や個人的な事情を書いていなかったかを振り返っておく
漏れたかもしれない情報は戻らない。できるのは、届く連絡を見分ける準備までだ。そしてこの件では、サービスを選んだのは会社で、情報を書き込んだのは自分という、ずれがある。自分の職場の担当者に聞かなければ、対象かどうかさえ分からない人もいるはずだ。
名寄せの結果と、委託先管理の見直し
確認できる次の点は二つある。一つはスカラ社の名寄せの結果で、延べ件数ではなく実際に何人分だったかが、同社のお知らせページで示されるかどうか。もう一つは損保ジャパンが決めるとした、委託先管理の強化策とその実施時期だ。どちらも日程は示されていないので、両社のお知らせページを続けて見ることになる。
ことば
- 名寄せ — 同じ人の複数の記録を、氏名や連絡先を手がかりに一人分にまとめる作業。延べ件数と実際の人数の差は、この作業が終わるまで分からない。
- ドライバー ID — SMILING ROAD を使う企業が、運転者ごとに振り分ける識別番号。運転の振り返りや安全運転の指導に使うため、運転アラートの記録と結びついている。
仕事で使う道具に、自分の名前と運転の記録がどこまで預けられているか。あなたは、それを知っているだろうか？
