なぜ危険？約160万件で「免許証画像」漏えい “なりすまし被害”のリスクも… タイムズカーで最大660万件の個人情報漏えい【Nスタ解説】

カーシェアサービス「タイムズカー」への不正なアクセスで最大660万件の個人情報が漏えいした問題で、漏えいした情報の中に免許証や学生証の画像など約160万件が含まれていたことが分かりました。どのような影響があるのでしょうか?

【写真で見る】「免許証画像」漏えいで“なりすまし被害”のリスクも…不正利用を防ぐ手立てとは？

タイムズカーで「免許証画像」が漏えい　なりすまし被害のリスクも

井上貴博キャスター:
これはカーシェアサービス・タイムズカーの一部利用者に届いたメールです。

「本人確認書類情報が漏えいしていたことが確認されました」

不正アクセスで最大660万件の個人情報が漏えいした疑いです。その中には、免許証や学生証の画像など約160万件が含まれています。

タイムズカーは、8月末時点で▼ステーション数は3万か所以上、▼スマホ予約で店頭手続きが不要、▼料金は使用分のみ（220円～/15分）など、利便性が高いサービスとなっています。

今回のケースは単なる情報漏えいではなく、長期にわたる二次被害を警戒しなければならない重大な事案となるでしょう。

今回は本物の「免許証の画像」が漏えいしています。

サイバーセキュリティに詳しい立命館大学・上原哲太郎教授によると、第三者によって消費者金融やカードローンなどを申し込まれ、不正に利用されることで本人が知らないうちに借金を背負うリスクがあると指摘します。

さらに、本物の「免許証の画像」をもとにAIの技術によって、オンライン上で免許証の人物になりすまし、不正利用を行うリスクも想定されると指摘しています。

漏えいは退会済みの人の情報も対象に…なぜ?

井上キャスター:
パーク24によると、漏えいした個人情報は最大660万件にのぼるとされています。

企業側が発表した情報漏えいの詳細では、会員・退会済みの人（入会完了していない人なども含む）が対象となります。

なぜ退会した人も漏えい被害の対象となるのでしょうか。

パーク24によると、「退会後も個人情報は7年間保管」していたそうです。その理由は、「法人税法に基づく取引記録の保管義務のため」です。

そして、今回は個人情報だけでなく、免許証の画像も流出しました。免許証の画像の保存は、法人税法に根拠はありません。

なぜ「画像」も保管していたのか。パーク24によると、「なりすまし防止問い合わせ対応のため保存」していたといいます。そのため、退会済みの人の情報や画像も今回、流出したということです。

TBSスペシャルコメンテーター　星浩さん:
「運転免許証の画像保存は必須ではないものの、念のため保存しておくのが望ましい」という判断だったと考えられますが、対応としてはやりすぎだったと思います。

写真付きの身分証明書にはマイナンバーカードなども該当しますが、同カードにはパスワードが備わっています。一方で、運転免許証にはそうしたパスワード保護が存在しないため、悪用リスクはより一層高まっているのではないでしょうか。

身に覚えのない借金を防ぐには…不正利用を防ぐ手立てとは?

井上キャスター:
漏えいしてしまった情報から、被害を拡大させない手立てはあるのでしょうか。

信用情報機関に「申告する」ことがひとつの手段となります。信用情報機関とは、クレジットやローンに関する個人の信用情報を登録・管理する組織です。

【信用情報機関】
▼銀行など：全国銀行個人信用情報センター
▼クレジット会社など：CIC
▼ノンバンク・消費者金融など：日本信用情報機構

個人情報の盗難や流出被害に遭った場合、前述の信用情報機関3社へ登録を行うことが推奨されます。手続きはオンライン上で可能で、それほど手間はかかりません。ただし、登録には各機関ごとに1000円前後の手数料が必要です。

この登録をしておくことで、不正に入手された個人情報を使って第三者がノンバンクや消費者金融等に融資の申し込みを行った際、貸金業者側が信用情報機関へ照会した段階で、「盗難被害等の申告あり」という情報が共有されます。結果として金融機関側で通常よりも慎重な審査が実施され、なりすましによる不正契約を防止する効果が期待できます。

完全な防犯策とまではいえないものの、申告情報は1回の届け出で5年間は有効となるため、申告していると未然に不自然な借り入れなどを防ぐことが期待されます。

TBSスペシャルコメンテーター　星浩さん:
情報が流出したのは事業者側の問題であるにもかかわらず、その対策や手続きのすべてを利用者側が担わなければならない点には、納得がいかないところがあります。

出水麻衣キャスター:
また、企業側のデータ保管期間が「7年」であるのに対し、信用情報機関への被害申告の有効期間は「5年」にとどまるため、その間に生じる「空白の2年間」をどのように補うかという課題も考えなければいけません。

井上キャスター:
さらに、「トクリュウ」などの犯罪組織にデータが渡った場合、被害やリスクが5年で収まるとは限らず、より長期的な視点での対策が必要となります。今回取り上げたパーク24に限らず、あらゆる事業者において情報漏えいを徹底的に防ぐシステムの開発が急務となります。

「今回の情報漏えいに伴った被害があった場合、現時点で考えている補償は」という問いに対し、パーク24からは以下のような回答がありました。

パーク24の回答
「不正利用の被害については現時点で確認していません（午前11時時点）。新しくお伝えできることがあればお知らせやWEBで公表させて頂きたい」

井上キャスター:
今後、この影響がどう広がっていくか確認していく必要があります。

==========
＜プロフィール＞

星浩さん
TBSスペシャルコメンテーター
1955年生まれ 福島県出身
政治記者歴30年