先日、skyticketから1通のメールが届きました。
迷惑メールは、たいていメインで使っていない方のメールアドレスに来るのですが、
このメールはいつも使っているアドレス宛て。宛名もおかしくありません。
「本当なのかな？」と思いつつ、ID登録をしただけでほとんど使っていないので、
被害はないだろうと軽く考えていました。
ところが翌日の報道で、情報漏洩だと知りました。
さらに、ハンバーガーショップからも情報漏洩のお知らせメールが届きました。
10月は漏洩のお知らせラッシュ
調べてみると、skyticketでは不正アクセスにより約1,464万件の顧客情報が対象となり、
そのうち約413万件にはログインパスワード（ハッシュ化されたもの）も含まれていたそうです。
返金先の口座情報が見られた事案もあったとのこと。
私のところに届いたのは、対象者への個別メールでした。
同じ時期には、ローソン、第一興商（ビッグエコー）、ブックオフなどでも漏洩やそのおそれが相次いで発表されました。ハンバーガーショップの件も、アプリ会員の情報が1,000万件を超える規模です。
毎日のように「お詫びとお知らせ」が出ていて、もはや驚かなくなっている自分に驚きます。
銀行員時代の「同意書」の記憶
個人情報保護法が全面施行されたのは2005年4月。
そのころ私は銀行員でした。
口座の開設、住所変更、ローンの手続き……。
何か手続きをするたびに、お客様から個人情報の取扱いに関する同意書をいただいていました。
書類が1枚増えるたびに説明し、署名をいただく。
現場では「個人情報保護＝同意書」というくらいの感覚でした。
あれだけ同意書を集めていたのに、いまは毎日のように漏洩のニュースが流れています。
個人情報保護は、どこに行ってしまったのでしょうか？
同意をもらうことと、守ることは別の話
考えてみると、同意書は「こういう目的で使います」とお客様に了解をもらうためのもので、
集めた情報を盗まれないように守ることとは別の話です。
当時の漏洩といえば、書類やパソコンの紛失、誤送付といった「うっかり」が中心でした。
いまは、外部からの不正アクセスで、一度に何百万件、何千万件という単位で抜き取られます。
同意書をどれだけ丁寧に集めても、サーバーの守りが甘ければ意味がありません。
もう一つ、ニュースが増えた理由もあります。2022年4月の改正で、
一定の漏洩が起きたときには個人情報保護委員会への報告と、本人への通知が義務になりました。
私に届いたメールも、まさにこの通知です。
以前なら表に出なかったものが、見えるようになった面もあるのでしょう。
そして今年（2026年）7月には、また改正法が成立しました。
違反した企業に課徴金を科す制度が新しく入るなど、規律を強める内容が含まれています。
施行は2年以内の予定です。
個人情報保護法のおおまかな流れ
- 2005年：全面施行（同意書が一気に増えた時期）
- 2022年：漏洩時の委員会への報告・本人への通知が義務に
- 2026年：改正法が成立（課徴金制度の導入など）
「使っていないから大丈夫」ではなかった
私は「ほとんど使っていないから被害はない」と思っていましたが、
よく考えると、漏れたのは名前やメールアドレス、パスワードです。
これを使って、本物そっくりのメールが届く可能性があります。
実際、今回のメールも「宛先がおかしくない」から迷ったわけで、逆に言えば偽物も見分けにくいということです。
- パスワードを変更する（同じパスワードをほかのサービスで使っていれば、そちらも）
- メール内のリンクからではなく、公式サイトやアプリから手続きする
- カードの明細や予約履歴に覚えのないものがないか確認する
- 使っていないサービスは、この機会に退会する
「登録しただけ」のサービスほど、自分でも忘れているぶん危ないのかもしれません。
同意書を集めることから始まった個人情報保護も、
20年たって「どう守るか」「漏れたらどうするか」が問われる時代になりました。
企業の側の守りはもちろんですが、私たち利用者も、自分の情報がどこに登録されているのか、
一度棚卸ししてみる必要がありそうです。