タクシー・ハイヤー大手の日本交通（東京）は10月30日、7月11日に受けた社内システムへの不正アクセスについて、外部の専門機関による調査の結果、個人情報が漏えいした可能性のある人の範囲と項目を確認したと発表した。7月13日から続く一連の公表の第6報にあたる。対象は乗務員・職員とその家族、採用選考の応募者、ハイヤーの利用客、取引先の担当者、乗務員が関わった事故の相手方の6区分で、公表された件数を合わせると約29万人に上る。一部の人については個人番号（マイナンバー）や健康診断の結果も含まれる。一方、タクシー利用客の配車・乗車に関する情報は対象に含まれず、同社はクレジットカード情報を保有していないとしている。
応募者約10万7900人、事故の相手方約7万2000人
区分ごとの件数で最も多いのは、採用選考に応募した人の約10万7900人で、過去の応募者も含む。氏名・住所・生年月日・性別・電話番号・メールアドレスのほか、学歴・職歴、応募時に提出した書類に書かれた情報が対象となる。
次いで多いのが、同社の乗務員が関わった事故などの相手方の約7万2000人だ。氏名・住所・生年月日・性別・連絡先に加え、事故の対応や保険の手続きのために取得した情報が含まれ、けがの状況が含まれる場合もあるという。乗務員・職員は退職者を含めて約6万100人、その家族は約3万7700人だった。
ハイヤーの利用客は、申し込みの担当者と乗車した客を合わせて約1万3100人。氏名・自宅住所・会社や自宅の電話番号・携帯電話番号・FAX番号・メールアドレスが対象となる。取引先の担当者は約2100人で、会社名・氏名・住所・連絡先のほか、振込先に関する情報も含まれる。
| 対象者 | 件数 | 主な項目 |
|---|---|---|
| 採用選考の応募者（過去分を含む） | 約10万7900人 | 氏名・住所・生年月日・学歴・職歴・提出書類の情報 |
| 事故等の相手方 | 約7万2000人 | 氏名・住所・連絡先・事故対応や保険手続きの情報 |
| 乗務員・職員（退職者を含む） | 約6万100人 | 氏名・住所・人事・給与・税と社会保障・健康管理の情報 |
| 従業員の家族 | 約3万7700人 | 氏名・続柄・生年月日・住所・扶養や控除の情報 |
| ハイヤーの利用客 | 約1万3100人 | 氏名・自宅住所・電話番号・メールアドレス |
| 取引先の担当者 | 約2100人 | 会社名・氏名・連絡先・振込先の情報 |
同社は件数をいずれも「約」で示している。同じ人が複数の区分にまたがる場合（元従業員が過去に応募者でもあった場合など）の扱いや、重複を除いた実人数は公表していない。
マイナンバー、免許証、健康診断の結果も
注記によると、乗務員・職員の情報には、運転免許証や在留カードなど本人確認書類に関する情報、顔写真、銀行口座に関する情報が含まれる場合がある。人事情報や給与の支払いに関する情報、健康診断の結果などの健康管理に関する情報も対象となる。税・社会保障の手続きに関する情報には、一部の人についてマイナンバーが含まれる。
従業員の家族についても、扶養や各種控除の手続きに関する情報のうち、一部の人はマイナンバーを含むという。応募者の情報にも、運転免許証や顔写真、銀行口座に関する情報が含まれる場合がある。同社は項目ごとの人数を示していない。
同社は、表に挙げた項目は区分ごとに該当し得るものを並べたもので、すべての人にすべての項目が当てはまるわけではないと説明している。一人ひとりに該当する項目は、書面または電子メールで順次送っている個別の通知で知らせるとしている。
健康診断の結果は、個人情報保護法で取り扱いに特に配慮が必要とされる「要配慮個人情報」に当たる。同法第2条第3項は、本人に対する不当な差別や偏見などの不利益が生じないよう取り扱いに特に配慮を要する情報を要配慮個人情報と定め、同法施行令第2条は、医師などが行った健康診断その他の検査の結果をその一つに挙げている。乗務員・職員約6万100人の区分に、この情報が含まれている。
7月11日未明に感染、電話配車は3か月近く止まる
最初の公表は7月13日だった。同社は社内システムが外部からの不正アクセス（マルウェア感染）を受けたと発表し、発生は7月11日の未明としていた。検知後にシステムを遮断した影響で、ハイヤーのウェブ受注・予約管理システム、電話によるタクシーの配車、一部の社内システムが使えなくなった。同社はタクシーの注文には配車アプリ「GO」か、乗り場・流しの車両を使うよう呼びかけた。同じ日には、「陣痛タクシー」について、東京23区・武蔵野市・三鷹市、立川、横浜、埼玉の各地域でウェブフォームからの登録を止めたと案内した。
7月22日の第3報では、今回の攻撃で同社から流出した疑いのある情報をインターネット上で確認したと公表した。8月19日の第4報では、同社が保有していたファイルの一部が外部に流出していることが判明したとしていた。いずれの時点でも、流出した情報の内容や範囲は調査中としていた。
電話配車と陣痛タクシーの登録は、外部の専門機関によるセキュリティ診断と再発防止策の検証を経て、10月6日午前11時に再開すると10月5日に発表した。発生から3か月近く止まっていたことになる。ハイヤーのウェブ予約システムは、第6報の時点でも「安全性を確保した環境での再構築」を今後の対策に挙げている。
二次被害は未確認、言い当てる連絡に注意
同社によると、現時点で漏えいした情報が不正に使われるなどの二次被害は確認されていない。ただ、同社や官公庁、金融機関を装い、名前や住所を言い当てて信用させようとする不審な連絡が届くおそれがあるとして、次の点に注意するよう求めている。
- 心当たりのない電話・メール・SMS・郵便物には応じず、記載されたリンクや添付ファイルを開かない
- 同社が電話やメールで暗証番号・パスワード・認証コードを尋ねることはない
- 暗証番号やパスワードに生年月日や電話番号を使っている場合は変更を勧める
問い合わせはコールセンター（0120-009-098、平日午前9時〜午後5時）で受け付ける。
再発防止策として同社は、侵入に使われた経路の遮断と感染した機器の停止・隔離、外部から社内システムへの接続経路の見直し、アカウントとパスワードの再設定、重要なアカウントへの多要素認証の適用、不審な動きを検知・遮断する監視の導入を実施したと説明した。個人情報の保管期間のルールを定め、それに基づく削除も行った。今後は外部からの接続方式の刷新、業務委託先のセキュリティ対策の確認、全従業員への教育・訓練、大規模障害を想定した手順の整備を進めるという。
法律が求める委員会への報告と本人への通知
個人情報保護法第26条は、個人の権利利益を害するおそれが大きい漏えいが起きた場合、事業者に個人情報保護委員会への報告と本人への通知を義務づけている。対象となる事態は同法施行規則第7条が定め、要配慮個人情報が含まれる漏えい、財産的被害が生じるおそれがある漏えい、不正の目的で行われたおそれがある行為による漏えい、本人の数が1000人を超える漏えいの4つで、発生した「おそれ」がある段階も含む。
日本交通は今回の件を個人情報保護委員会と警察などの関係機関に報告したとしている。第26条第2項は本人への通知も求めており、同社は対象者に個別の通知を送っている。
会員や利用客の情報が狙われた例は10月にも相次いだ。旅行会社ではクラブツーリズムに不正アクセス、ネット会員約432万件が漏えいの恐れ 生年月日や緊急連絡先も、外食では松屋アプリに不正アクセス、注文利用者237万件の住所・氏名漏えい アプリは停止続くがある。日本交通の件は利用客ではなく、従業員や応募者、事故の相手方といった、同社と雇用や事故処理で関わった人の情報が中心になっている点が異なる。過去に応募しただけの人や、事故で一度やり取りしただけの人も対象に含まれるため、心当たりがある人は届く通知と不審な連絡の区別に気を付ける必要がある。