情報処理推進機構（IPA）は10月26日、企業などから「あなたの個人情報が漏えいした」と知らされた利用者に向けて、取るべき対処と日頃の対策をまとめた文書を公表した。漏れた情報をID・パスワード、クレジットカード情報、連絡先と氏名、運転免許証などの本人確認書類の4種類に分け、それぞれの悪用のされ方と対処を示した。本人確認書類の画像が漏れた場合は、なりすましによるカードやローンの契約を防ぐため、信用情報機関への本人申告を検討するよう求めている。
相談窓口に「どう対応すれば」の声
IPAは文書の冒頭で、国内の幅広いサービスでウェブシステムの脆弱性の悪用や、取引先を経由した侵害による情報漏えいの公表が相次いでいると説明した。大量の個人情報を扱うオンラインサービスやアカウント管理のシステムに侵入され、データが盗まれた事案が複数判明しており、一部では運転免許証の画像やクレジットカード情報が流出したとしている。
そのうえで、IPAの「情報セキュリティ安心相談窓口」には、漏えいの対象になった一般の利用者から「自分の情報が漏えいしたという連絡がきたが、どう対応すればよいか」という相談が数多く寄せられていると記した。文書はこうした利用者に向け、二次被害のおそれを下げるための対処を示すものだ。
同窓口が10月23日に公表した7〜9月の相談状況では、相談対応件数は3369件で、前年同期の2824件から約19.3％増えた。手口別では「不正ログイン」が395件で、「ウイルス検出の偽警告」の1160件に次いで多かった。相談状況の詳細は「IPAへの個人のセキュリティ相談、7〜9月は3369件 前年比19％増 偽警告が3分の1」で伝えた。
利用者が漏えいを知るのは、多くの場合、サービスを運営する企業からの連絡による。個人情報保護法第26条は、一定の漏えいが起きた場合、事業者に個人情報保護委員会への報告と、本人への通知を義務付けている。報告の対象は、要配慮個人情報を含む場合、クレジットカード番号など財産的被害が生じるおそれのある情報を含む場合、不正アクセスなど不正な目的によるおそれがある場合、本人の数が1000人を超える場合などだ。本人への通知が難しい場合は、本人の権利利益を守るために必要な代わりの措置を取れば、通知しなくてよいとしている。
まず「何が漏れたか」を確かめる
IPAは、漏えいの対象になったと知っても慌てず、まず自分のどの情報が漏れたのかを確認するよう勧めた。確認の手段として、サービス提供者からの連絡の内容、提供者のウェブサイトの案内、提供者のサポート窓口への問い合わせの3つを挙げている。そのうえで、漏れた情報ごとに必要な対処を一つずつ進めるよう求めた。
文書が挙げた4種類の情報と、それぞれのおそれ、対処は次の通り。
| 漏れた情報 | 想定される被害 | IPAが示した対処 |
|---|---|---|
| ID・パスワード | 不正ログインによる勝手な購入、不正送金、なりすまし投稿 | 速やかにパスワードを変更。同じパスワードを使い回している他のサービスも変更 |
| クレジットカード情報 | 不正な決済 | カード会社に連絡し、不正利用の確認や利用停止・再発行を相談。当面は明細を定期的に確認 |
| メールアドレス・電話番号・住所・氏名 | 名簿として闇サイトで売買され、偽メール・偽SMS・詐欺電話・不審な郵便物が届く | 突然届くメールやSMSは詐欺と考えて削除。リンクを開かない。不審な着払いは受け取らない |
| 運転免許証など本人確認書類の画像 | なりすましでクレジットカードやローンを契約される | 信用情報機関に本人申告（漏えいの事実の登録）を検討 |
連絡先と氏名が漏れた場合について、IPAは偽メールの文面に本人の氏名が書かれていることもあり得ると注意を促した。メール内のリンクだけでなく、画像として埋め込まれたリンクにも注意するよう求めている。
免許証の画像は信用情報機関へ
本人確認書類の画像が漏れた場合の申告先として、IPAは日本信用情報機構（JICC）、シー・アイ・シー（CIC）、全国銀行個人信用情報センター（KSC）の3つを挙げた。CICによると、会員会社はクレジットやローンの審査で、支払い能力を確かめるために機関に登録された情報を参考にする。本人申告は、自分の信用情報に注意を促す情報を書き加えておく制度だ。
CICは本人申告について、運転免許証などを紛失した際に、第三者による不正利用や身に覚えのない契約を未然に防ぐ対策の一つと説明している。審査の際に本人申告の情報もあわせて確認することで、会員会社はより慎重に判断しているという。ただし、与信の判断は各社が独自に行うもので、CICが本人申告の効力を保証するものではないとしている。インターネットでの申し込みの手数料は1000円（税込み）で、登録した情報は登録日から5年を超えない範囲で保有される。
JICCは、免許証の現物は手元にあるが画像が流出した場合も本人申告の登録ができると案内している。その場合は「名義の悪用防止」のコメントを選ぶ。JICCとCIC、全国銀行個人信用情報センターの3機関は、本人確認書類の紛失・盗難にかかわるコメントを互いに交流している。ただJICCは、機関ごとに加盟会員が異なり、他の機関の会員がJICCの情報を使うとは限らないとして、広く注意を促すにはそれぞれの機関に登録するよう勧めている。
本紙はこれまでに、免許証画像が流出した事案として「タイムズカー情報漏えい、免許証画像146万件流出でお見舞金3000円 特損55億円」を伝えている。
信用情報機関の側では、申し込みが集中している。JICCは10月8日、スマートフォンのアプリと郵送による信用情報の開示や本人申告コメント登録の申し込みが集中しているため、手続きの完了まで通常より時間がかかっていると告知した。CICも10月16日、郵送による開示と本人申告の申し込みが多く、結果の発送まで通常より大幅に時間を要しているとして、急ぐ場合はインターネットでの手続きを使うよう呼びかけた。
JICCは10月22日には、「現在広く報じられているPHPの脆弱性に関する情報」を受けた予防措置として、アプリによる開示と本人申告の申し込み、QRコード付きの郵送申込書の利用を一時停止したと発表した。自社システムへの不正アクセスや利用者情報への影響は確認されていないとしている。手書き用の申込書による郵送の受け付けは続けている。
漏えいの有無にかかわらず日頃の対策を
IPAは、漏えいの対象かどうかにかかわらず全員が心がける対策として4つを挙げた。パスワードを長く複雑にして使い回さないこと、多要素認証やパスキーを設定すること、偽メールに注意すること、登録する情報を必要最小限にすることだ。
多要素認証では、SMSでの認証、認証アプリ、ハードウェアトークンなどを例示し、設定できるサービスでは積極的に使うよう勧めた。偽メールについては、真偽を確かめたい場合は正規のサイトを自分で調べ、そこから問い合わせるよう求めている。
情報の登録については、本当に必要なサービスに、必要最小限の情報だけを登録するよう求めた。使わなくなったアカウントは削除し、その際にサービス側で情報が消されるかどうかは利用規約やプライバシーポリシーで確かめるよう付け加えている。
漏えいにどう対処すればよいか分からない場合や、日頃の注意点について不安がある場合は、IPAの情報セキュリティ安心相談窓口が電話とメールで相談を受け付けている。