クレジットカード情報は漏れていないから安心ではない！タイムズカー約660万件の個人情報漏洩

↑ランキング頑張ってます(^o^)／応援お願いします！

皆さん、おはようございます＾０＾　

防犯アドバイザー・犯罪予知アナリストの京師美佳です♪

出張帰りにまた、衝撃的な事件が。。。。

カーシェアリングサービス「タイムズカー」で、

大規模な個人情報漏えいが発生しました。

不正アクセスを受けたシステムから第三者に

取得されたのは、約660万アカウントの会員情報。

しかも対象は現在の会員だけではありません。

退会済みの人や、入会を申し込んだものの

完了しなかった人まで含まれています。

私自身も以前タイムズカーを利用しており、

すでに解約しています。それでも退会者まで

対象になっていると知れば、決して他人事ではありません。

今回、対象者によって異なりますが、第三者に取得された情報には、

・氏名
・住所
・生年月日
・電話番号
・メールアドレス
・運転免許情報
・運転免許証画像などの本人確認書類情報
・パスワード
・連携サービスID
・法人会員の所属部署名

などが含まれています。

特に私が重く見ているのが、運転免許情報や

運転免許証画像など、本人確認に使われる

情報まで含まれていることです。

これは単なるメールアドレスの流出とは、危険性の質が違います。

「クレジットカード情報は漏れていない」から安心なのか

タイムズ側は、クレジットカード情報については

漏えいしていないことを確認したと説明しています。

また、パスワードについても「復元できない形式」で保管しており、

この情報を使ってアカウントを不正利用される恐れはないとしています。

もちろん、それを説明すること自体は必要です。

しかし私は、こうした説明によって、「では、それほど深刻ではないのか」

と利用者が受け取ってしまわないかを心配しています。

クレジットカード情報が漏れていないから安心ではありません。

防犯で考えなければならないのは、

「今回何が漏れたのか」だけではなく、

「漏れた情報を使って、次に何を盗られる可能性があるのか」

だからです。

「電話番号くらい」と思わないでください

私は以前から、個人情報は一つ一つをバラバラに

見てはいけないとお伝えしています。

例えば電話番号。

「電話番号くらいなら」と思う人もいるかもしれません。

しかし現在は、電話番号を一つの手掛かりとして、

公開情報や名簿、過去に流出したデータなど、

さまざまな情報と照合されることで、さらに

別の個人情報につながっていく可能性があります。

不正に取得・売買されたデータなどと結び付けられれば、

今回漏れていない金融情報など、より重要な情報に

近づくための手掛かりにされる可能性も否定できません。

まして今回は電話番号だけではありません。

氏名＋住所＋生年月日＋電話番号＋メールアドレス＋運転免許情報＋本人確認書類情報。

対象者によっては、これだけの情報が第三者に取得されています。

犯罪者にとって、非常に利用価値の高い「材料」になり得ます。

さらに注意したいのが、運転免許証画像などの本人確認書類情報です。

運転免許証は、多くの場面で「あなたが本人であること」

を証明するために使われています。

だからこそ、その情報が第三者に渡ったことを

軽く考えるべきではありません。

もちろん、免許証画像が漏れたからといって、直ちに

何らかの契約を勝手にできると断定することはできません。

本人確認の方法はサービスによって異なり、

追加認証などを求められる場合もあります。

しかし、

本人確認に利用される情報が犯罪者側に渡った可能性がある。

この事実そのものを重く受け止める必要があります。

本物の情報を知っている詐欺師は怖い

例えば、ある日こんな電話がかかってきたとします。

「タイムズカーの情報漏えいについて確認のためご連絡しています」

そして相手が、

あなたの本名を知っている。
住所も知っている。
生年月日も知っている。
電話番号もメールアドレスも知っている。
場合によっては、運転免許情報まで知っている。

そこまで正しい情報を言われたら、

「本当にタイムズカーの関係者なんだ」

と思ってしまう人がいても不思議ではありません。

そして、

「本人確認のため、SMSに届いた認証コードを教えてください」
「登録されているカードを確認します」
「補償金を振り込みますので口座番号を教えてください」

などと言われる。そこで初めて、

今回漏れていないクレジットカード情報、

口座情報、認証コードなどを盗られる。

これが私が最も心配している二次被害の一つです。

つまり、

「クレジットカード情報は漏れていない」ことと、

「クレジットカード情報を盗られる危険がない」ことは別なのです。

犯罪者は個人情報を「組み合わせる」

防犯では、一つの情報だけを見てはいけません。

犯罪者は情報を組み合わせます。

名だけ。
住所だけ。
電話番号だけ。
生年月日だけ。
メールアドレスだけ。

一つ一つを見ると、それほど重要ではないように感じるかもしれません。

しかし、それらが同じ人物の情報としてまとまった時、

価値は大きく変わります。さらに本人確認書類の情報まで加わる。

私はここに、今回の情報漏えいの大きな問題があると思っています。

退会した人の情報を、なぜ持ち続けていたのか

そしてもう一つ、企業側に説明してほしいことがあります。

なぜ、退会済みの人の情報まで残っていたのでしょうか。

企業には、法令上の保存義務や取引記録など、

一定期間情報を保管する合理的な理由がある場合もあります。

ですから「退会したらすべて即時削除すべき」

と単純に言うことはできません。

しかし今回のような大規模な情報漏えいが起きた以上、

どの情報を、何の目的で、どのくらいの期間、

どのような状態で保存していたのか。

そして、その情報は本当にすべて保存しておく必要があったのか。

企業側には説明してほしいと思います。

持っていなければ、盗られない情報もあります。

情報セキュリティでは、守り方だけではなく、

そもそも必要以上の情報を持ち続けないという考え方も重要です。

「漏れてしまいました。気をつけてください」で終わらせないで

私は企業の情報漏えいが起きるたびに思います。

サイバーセキュリティに100％はありません。

どれだけ対策しても、攻撃する側も新しい方法を考えます。

だから「攻撃された企業はすべて悪い」と言いたいわけではありません。

問題は、
どこまで備えていたのか。
侵入後に被害をどこまで小さくできる仕組みだったのか。
そして、事故が起きた後にどこまで利用者に向き合うのか。

です。今回についても、

●なぜ約660万件もの情報が取得される状態になったのか。
●なぜ退会者の情報まで対象になったのか。
●どの情報を何の目的で、どれだけの期間保管していたのか。
●なぜ侵入された後、これほど多くの情報を取得されるところまで許したのか。
●本人確認書類情報を含む対象者には、今後どのような支援を行うのか。
●実際に二次被害が発生した場合、どのような対応や補償を行うのか。
●そして、同じことを起こさないために何を変えるのか。

そこまで具体的に説明してほしいと思います。

対象となった可能性がある方は、今後しばらく、

タイムズカーや関連企業を名乗る電話、メール、

SMSには特に注意してください。

相手が自分の名前や住所、生年月日などを知っていても、

それだけで本物だと判断しないこと。

メールやSMSに記載されたリンクからログインしない。

認証コードを他人に教えない。

電話でクレジットカード番号や口座情報などを

求められても、その場で答えない。

一度電話を切り、自分で公式サイトなどから

正規の問い合わせ先を確認する。

不審な連絡が来た場合は、電話番号、メール、

SMS、日時、内容などを保存しておく。

実際に不正利用などが確認された場合には、

サービス提供会社、カード会社や金融機関、

警察などへ速やかに相談してください。

個人情報は「その人の生活」そのもの

企業のデータベース上では、一人ひとりの情報は

文字や数字の集まりに見えるかもしれません。

しかし、

氏名。
住所。
電話番号。
生年月日。
メールアドレス。
運転免許証。

その一つ一つは、現実社会で暮らしている「人」につながっています。

企業が預かっているのは、単なるデータではありません。

その人の生活につながる情報です。

だからこそ、

「クレジットカード情報は漏れていません」

だけで安心するのではなく、

「漏れた情報から、次に何が起こり得るのか」まで考える

企業にも、利用者にも、その危機管理が

必要な時代になっていると思います。

そして私は、防犯の専門家として改めて伝えたいと思います。

「電話番号くらい」ではありません。
「免許証情報くらい」でもありません。

個人情報は、組み合わせられた時に、

さらに大きな価値を持ちます。

犯罪者に「次の犯罪の材料」を渡さない。

そして、漏れてしまった時には、その材料が

どう使われる可能性があるのかまで考えて備える。

それが、これからの個人情報に対する防犯だと思います。