カーシェアリングサービス「タイムズカー」を運営するパーク24は、不正アクセスによって最大約660万件の顧客情報が漏えいしたと発表しました。特に懸念されるのが本人確認書類の画像データで、運転免許証などの画像が約160万件流出したことが明らかになっています。
何が起き、どのような情報が漏れたのか
今回の問題は、不正アクセスによってタイムズカーの会員情報が外部に漏えいしたというものです。パーク24の発表によると、流出したアカウント数は全体で最大約660万件に上ります。この対象には、現在サービスを利用している会員だけでなく、すでに退会した人も含まれていると報じられています。
漏えいした情報の具体的な内容は以下の通りです。
- 氏名、住所
- 運転免許情報
- タイムズカーのパスワード
- 本人確認書類の画像（最大約160万件）
本人確認書類の画像には、運転免許証だけでなく、住民票の写し、公共料金の請求書、学生証などが含まれています。一方で、クレジットカード情報については漏えいしなかったとしています。
今回の不正アクセスが発覚したのは9月25日のことで、26日の午前7時25分までに不正アクセスを受けた経路は遮断されたと報じられています。パーク24は29日から、本人確認書類の情報漏えいが確認された会員に対してメールでの通知を開始しました。
本人確認書類の流出がもたらすリスク
今回の漏えいで特に深刻視されているのが、免許証などの「画像」が流出した点です。日テレNEWSは、免許証の画像を差し替えることで、別のサービスなどの本人確認が成立してしまう恐れがあるとして、悪用の懸念を指摘しています。
現時点では、漏えいした情報の不正利用などの被害は確認されていないとされています。しかし、氏名や住所といった基本情報に加え、公的な証明書の画像という極めて機密性の高い情報が流出したため、今後の動向が注視されます。
パーク24は今後、外部機関による原因や影響範囲の調査を実施し、再発防止策を取りまとめる方針です。また、今回の事態による業績への影響についても精査中としています。
相次ぐ大規模な個人情報漏えいの現状
日本国内では、近年、数百万件規模の個人情報漏えいが相次いでいます。
今年に入っても、6月にはアフラック生命保険で約438万人分の名前、住所、銀行口座情報が漏えいしたほか、同じく6月にはKDDIで約762万人分のメールアドレスやログインパスワードなどが漏えいし、メールボックスが閲覧可能な状態になっていたことが発覚しています。また、2月には日本医科大学武蔵小杉病院において、患者ら1万人分の個人情報が漏えいしたと発表されています。
さらに、自動車関連の業界でも同様の被害が出ており、イエローハットや2りんかんの不正アクセス問題では顧客情報317万9454件が流出したとされています。また、損保ジャパンにおいても、不正アクセスにより最大1750万件の顧客情報が漏えいした可能性があると報じられています。
企業側の通知義務とユーザーの注意点
万が一、個人情報が漏えいした場合、企業側から通知が来るかどうかは情報の種類や件数によって異なります。
運転免許証の情報は、法的な定義における「特に配慮すべき情報」には含まれていません。そのため、担当者が名簿を紛失したなどの不正目的ではない漏えいで、かつ1000人分以下である場合は、通知する義務はないとされています。ただし、多くの企業は任意で通知を行うケースがあります。
今回のタイムズカーの事例のように、不正アクセスによる大規模な漏えいの場合は通知義務があるケースに該当します。過去の事例では、発表から1か月後に手紙で知らせが届いたケースもあったと報じられています。
ユーザーとしては、企業からの通知メールや書面を注意深く確認し、心当たりのない請求や不審な連絡がないか警戒することが重要です。
出典 時事通信 日テレNEWS パーク24、不正アクセスでカーシェアの顧客情報660万件が漏えい（日刊自動車新聞）
ピックアップ記事
