カーシェアのタイムズカーで、会員約660万アカウントの情報が外部に取得され、そのうち約160万件では運転免許証などの本人確認書類の画像まで漏れた。10月5日には焼肉きんぐの公式アプリで約1,079万件、大和証券の委託先で約11万人分の流出も公表された。パスワードなら変えれば済む。住所、生年月日、免許証に写った顔は変えられない。その情報が外に出たとき、手元でできることは何か。
タイムズカー 第2報 (約660万アカウント・漏えい項目・注意喚起)カーシェアリングのタイムズカー
何が漏れて、何が漏れていないか
最初にやることは、自分がどの件の対象で、何が出たかを分けることだ。件ごとに中身が違う。
- タイムズカー: 氏名・住所・生年月日・電話・メール・運転免許情報に加え、約160万件では免許証、公共料金の請求書、学生証などの画像。退会済みの人も対象に含まれる。パスワードは復元できない形式で保管されていた。クレジットカード情報は、そもそも持っていなかった
- 焼肉きんぐ: 会員番号・アプリの登録名・メール・電話。パスワード・生年月日・利用履歴は含まれず、決済情報は持っていない
- 大和証券: 問い合わせの記録に含まれていた氏名・メール・口座番号等。同社は、この情報だけでは口座へのアクセスも取引もできないとしている
3件とも、お金に直結する情報は出ていない。出たのは、あなたに連絡し、あなたを名乗るための情報だ。タイムズカーは対象者に個別のメールを送っていて、退会済みの人には確認用の問い合わせフォームを用意している。
次に来るのは「知っている相手」からの連絡
3社とも、自社を装ったメール・SMS・電話に注意するよう呼びかけている。漏れたのが連絡先と名前だからだ。
名前を呼ばれ、使ったサービスの名前を出され、ときには問い合わせた内容まで添えられた連絡は、何も知らない相手からの連絡よりずっと本物らしく見える。大和証券は、氏名や問い合わせ内容を使った詐欺のおそれを名指しで書いている。
見分ける手がかりは一つに絞れる。届いた連絡の中のリンクや電話番号を使わない。 公式アプリか、自分でブックマークした公式サイトから入り直す。3社とも、メールや電話でパスワードやカード情報を聞くことはないと明言している。ワンタイムパスワードや認証コードを口頭で伝える場面は、どの正規の手続きにも無い。
タイムズカーは、漏えいの詳細を9月29日から2週間程度を目処にあらためて案内するとしている。10月中旬にその案内が届く頃は、便乗した偽の連絡も届きやすい時期だ。同社のサイトの「新着情報」に同じ案内が載っているかを確かめてから開く、という順番を決めておくと迷わない。
免許証の画像が出た人だけにある、もう一手
本人確認書類の画像は、連絡のための情報とは性質が違う。誰かがそれを使ってあなたの名前でローンやカードを申し込む、なりすましの材料になりうる。
これには予防の窓口がある。全国銀行個人信用情報センターの「本人申告」は、運転免許証などの本人確認書類が紛失・盗難・漏えいして名義を使われるおそれがある場合に、本人の申告で信用情報にその旨を登録する制度だ。加盟する金融機関が審査の際にこの情報を見て、慎重に判断できるようになる。手数料は500円。インターネットで申し込む場合はマイナンバーカードが要る。
ただし限界もはっきりしている。本人申告は申し込みを審査する側への「注意書き」であって、申し込みそのものを止める鍵ではない。この窓口に加盟していない事業者には届かない。そして一度外に出た画像は戻らない。退会者の情報まで7年保管されていたことが今回分かったように、どこに何が残っているかは利用者の側から見えにくい。
預ける前に決められること
事故の後にできることは、どれも「被害を小さくする」ことに留まる。考える余地があるのは、預ける前のほうだ。
サービスを使い終えたら退会し、その際に本人確認書類の画像がいつ消されるのかを確かめる。登録するメールアドレスを用途ごとに分けておけば、怪しい連絡がどこ由来なのか見当がつく。どちらも手間がかかり、すべてのサービスで選べるわけでもない。カーシェアのように、本人確認が利用の前提になっているサービスもある。
それでも一度は考えておきたいことがある。
ことば
- 本人申告 — 本人確認書類の紛失・盗難・漏えいで名義を使われるおそれがあるとき、本人が信用情報機関に申告して登録する制度。金融機関が審査で参照する。全国銀行個人信用情報センターの場合、手数料は500円。
- なりすまし — 他人の氏名や本人確認書類を使い、その人のふりをして契約や申し込みをすること。漏れた画像は、オンラインの本人確認を突破する材料になりうる。
あなたの免許証の画像は、いま何社のサーバーに残っているだろうか？
