1分ニュース
▶ 日本のカーシェアリングサービス「タイムズカー」で、約660万アカウントの個人情報が流出した。このうち約160万アカウントには、運転免許証を含む本人確認書類の写真が含まれていた。
▶ 日本では運転免許証の再交付を申請する人が相次いでいるが、警察は、変更されるのは番号の一部に限られるため、なりすましを防ぐ効果は限定的だとみている。
◆ 今何が起きたのか
日本で、カーシェアリングサービスを退会した人の運転免許証の写真まで流出した。
タイムズカーの運営会社タイムズモビリティの親会社、パーク24は9月、外部の人物がシステムに不正アクセスし、約660万アカウントの情報を持ち出したと発表した。現在の会員だけでなく、退会した会員や、登録を完了していない申込者も含まれていた。
流出した情報はアカウントによって異なる。氏名、住所、生年月日、連絡先、運転免許証の情報などが含まれ、約160万アカウントでは、運転免許証をはじめとする本人確認書類の写真も流出した。会社は、クレジットカード情報は流出していないと発表した。
発表後、日本の警察署や運転免許センターには、免許証の再交付に関する問い合わせが相次いだ。写真が流出したのなら、新しい免許証を受け取ったほうが安全ではないかと考えたためだ。しかし日本の警察は、再交付だけでなりすましを防ぐのは難しいと説明している。
◆ 意味を分析する
今回の事故で注目すべき点は、退会した会員の写真がなぜ残されていたのかということだ。パーク24は退会後も、個人情報を約7年間保管していた。
同社は日本のITメディア「ITmedia」に対し、税法上の取引記録の保存義務を理由に挙げた。ただし、税法は運転免許証の写真まで7年間保管するよう求めてはいない。同社は、なりすましの防止や顧客からの問い合わせへの対応のため、写真を保管していたと説明した。
タイムズカーは退会した会員の免許証の写真も保管しており、ハッキングの過程でそのデータも流出した。
日本では免許証を再交付しても、変わるのは番号の末尾や写真などに限られる。氏名や生年月日など、すでに流出した情報はそのままだ。犯罪者が別の場所で被害者になりすます可能性が残るため、日本の警察は免許証の再交付より、金融機関による本人確認の強化が重要だとみている。
◆ 見方は分かれる
利用者が再交付を望むのは無理もない。顔と免許証番号が写った写真が見知らぬ人の手に渡ったのに、従来の免許証を使い続けるのは不安だからだ。
日本の警察も再交付を認めている。ただし、新しい免許証を受け取ったことと、金融取引でなりすましを防げるという判断は別の話だ。
保管期間についても意見が分かれている。企業には過去の取引を確認し、トラブルに対応するための資料が必要だ。一方、利用者は、登録時に提出した身分証明書の写真が退会後も残り続けるとは予想しにくい。
◆ 示唆すること
タイムズカーの事故は、被害がハッキングを受けた会社だけにとどまらない可能性を示している。カーシェアリング会社から流出した身分証明書の写真が、別のサービスでの本人確認に悪用されるおそれがあるためだ。日本の金融庁が金融機関に対し、身分証明書の写真と申込者の顔をより厳格に確認するよう求めたのも、同じ理由による。
韓国の読者にとっても身近な問題だ。カーシェアリング、通信、宿泊、金融サービスを利用する際、身分証明書の写真を提出する機会は少なくない。韓国の個人情報保護委員会に届け出られた情報漏えいは、昨年は447件で、今年は上半期だけで432件に上った。
タイムズカーと同じ形の事故が韓国で起きたということではない。しかし、企業のサーバーに蓄積された個人情報の量や保管期間を点検すべき理由は十分にある。
今回のハッキングがどのような経路で行われたのかは、まだ公表されていない。そのため、ランサムウェアや特定のセキュリティ機器の不具合を事故の原因と断定することはできない。主な教訓は、機微な情報が長期間保管されていた点にある。
◆ 対策
企業は取引記録と身分証明書の写真を分けて管理すべきだ。法律に基づいて取引履歴を保管する場合でも、写真の原本まで同じ期間残す必要があるのかを検討する必要がある。
写真の保管が避けられない場合は、理由と期間を明確に定め、期間終了後に作業用ファイルやバックアップからも削除されたか確認すべきだ。
写真を受け取る本人確認の方法も変わりつつある。日本の金融庁は来年4月から、オンラインでの本人確認において身分証明書の画像を送信する方式を廃止し、カードに内蔵されたICチップの情報を読み取る方式を原則とする予定だ。
流出した写真だけでは、実物のカードのチップを読み取れない点を活用する。金融庁は、実施日を待たずに移行を急ぐよう金融機関に求めている。
韓国で身分証明書の写真が流出したとの通知を受けた場合は、まず、どの情報が流出したのかを該当企業の公式ウェブサイトやカスタマーセンターで確認する必要がある。そのうえで、自分名義の見覚えのない金融取引がないか確認したい。
新たな取引そのものが心配な場合は、取引先の金融機関のアプリや「アカウントインフォ」で、「非対面口座開設安心遮断」と「与信取引安心遮断」を申し込むことができる。前者は望まないオンライン口座開設を防ぎ、後者は融資やカード発行などの対象取引を制限する。必要な際には解除しなければならないため、申し込み前に遮断の範囲も確認しておくとよい。