今夏起こったニチレイにデジタル庁、大和証券に第一生命グループと、著名な民間企業から公共機関まで、サイバー攻撃による個人情報漏えいの公表が後を絶たない。連日次から次へと被害が明らかになっており、日本年金機構が被害に遭ったのを契機に被害発表が続発した2015年を彷彿とさせる。中でも特に注目されているのは、カーシェアリングサービス「タイムズカー」での情報漏えいだろう。
注目されている理由は2つある。1つは、漏えいした約660万件の個人情報の中には、すでに退会手続き済みの過去の会員のものが含まれていた点だ。そしてもう1つは、個人情報取り扱いのポリシーと運用の両輪の重要性が改めて浮き彫りになった点だ。運転免許証、学生証、住所確認書類といった本人確認書類が約160万件含まれているということだ。
不要になった個人情報は、速やかに削除するよう努めるべきと個人情報保護法では定められている。保持目的が明確でかつ会員にその旨が通知されているのか、不要な個人情報廃棄のサイクルが回っていたのか、本人確認書類を保持し続ける必要性など、個人情報取り扱いのポリシーと運用の両輪の重要性が改めて浮き彫りになっている。
本人確認書類の漏えいは、口座開設やローンなどの不正な契約に悪用されるリスクはもちろんだが、オンラインサービスへの登録に悪用されてなりすまされるといった危険性もある。今回の事件を踏まえた詐欺の試みだったり、本人確認資料がダークウェブで売買されることも十分考えられる。
悪用を懸念する会員からの問い合わせが、タイムズカーだけでなく日本信用情報機構（JICC）やCICなどの信用情報機関に殺到する事態にもなっている。
個人情報に対する国・地域の違い
データプライバシーに関する意識は、特にヨーロッパと比較すると決して高いとは言い難いものがあったが、このような動きはこれまで国内では見られなかったのではないだろうか。本人確認資料という変更が容易ではない特性もある上、生成AIによる加工、悪用のリスクが現実のものとなり、データプライバシーに対する危機意識が国内でも変化しているものと推測する。
自身の個人情報が漏えいし悪用されるリスクに対する個人の関心度が高くなる一方で、第三者の個人情報を取得し利活用する民間企業や公共機関の意識はどうだろうか。
ランサムウェアによって、特に大手企業や経営層を中心にサイバーリスクに対する意識が高くなっているのは間違いない。しかし、これは事業継続が困難になる懸念を踏まえたリスク認識であって、データプライバシーの侵害に関するリスク認識ではない。
