消えない個人情報～私にも届いたタイムズカーからの「当選」通知　退会して7年も経つのに、なぜ？

ついに“不幸の手紙”がやってきた

　SNSで皮肉たっぷりに「当選メール」なんて呼ばれている、タイムズカー（パーク24グループ）からの情報漏洩該当者へのお知らせ。大規模な情報漏洩が発覚してからというもの、戦々恐々としていましたが……ついに私のメールボックスにも、その“不幸の手紙”が着弾してしまいました。

　タイムズカーの現役会員である私の知人も、免許証画像からメールアドレス、携帯電話番号まで丸ごと漏洩してしまうフルコースの被害に遭い頭を抱えていました。しかし、私の場合は少し事情が違います。というのも、私は過去にタイムズカーを利用していたものの、ずいぶん前に退会した「元利用者」なのです。この事実から、今回の事件のまた違った不気味さが見えてきます。

　カーシェアを使い始めたのは、毎月違う洋服やアクセサリーが届いたり、男性向けの腕時計シェアリングがあったりと、さまざまなシェアリングサービスが流行し始めた頃。今思えば、サブスクリプションサービスの走りだったのかもしれません。当時、乗っていたのは2シーターのスポーツタイプだったので、家族を駅まで迎えに行ったり、友人たちと大人数で遠出したり、大きな家具を買いに行くときなどは、ワゴン車をパッと借りられて本当に重宝していました。月に1、2回使えば元が取れる感覚で数年間愛用し、引っ越しを機にすっぱりと解約したのです。それから、もう7年…。

7年前の免許証画像、いったい何に使っていたのか？

　なぜ7年も前の退会者の個人情報が保持され続けていたのでしょうか。いったい何に使っていたのかという疑問は尽きず、法的にどうなのかという疑念も残ります。 

　報道によれば、9月に公表された今回の事件では約660万件のアカウント情報が流出し、その中には退会者の運転免許証画像までもが含まれていたといいます。運営元のパーク24は「法人税法に基づく取引記録の保管義務があるため」退会後も7年間保存していたと説明しているようですが、ちょっと待ってください。単なる取引の記録なら、テキストの履歴データだけで十分なはず。顔写真や住所がバッチリ載っている、「運転免許証の画像データ」そのものを、わざわざ外部から不正アクセスされるリスクのあるネットワーク上に7年も残しておく必要が本当にあったのでしょうか？

「ごめんなさい」と少額のお詫びで、ハイおしまい？

　今の日本は、まさに「情報漏洩祭り」とでも呼びたくなるような異常事態です。東京商工リサーチの調査によると、2026年は10月時点で、KDDIなどの大企業を含む100万件以上の大規模漏洩事故がすでに10件も起きています。これは25年通年の件数をすでに大きく上回る異常なペースです。

　漏洩した企業数や件数は日々更新されており、タイムズカーの発表以降だけでも、少なくとも75社・団体、延べ約1億587万件もの個人情報という膨大な数にのぼります（※人数表記の合算だけでも約1,040万人。8月以前に初報が出たEストアー等の10月最終報分まで含めれば延べ約1億3,305万件・約3,615万人／10月18日時点）。

　中でも生活に直結する危険な情報をみると、タイムズカーの免許証画像のほかに、クレジットカード情報やセキュリティーコードが漏れたという発表（ACCESS社など）もありました。最も漏れてほしくないクレカ情報や、大和証券、八十二長野銀行など金融機関からの漏洩も起きていることからも、預金口座や資産情報が漏れ出すのは時間の問題でしょう。もし多額の預金が不正に移動したり、カードが不正利用されたりし始めれば、私たちの生活が大混乱に陥るのは必至です。

　なぜ、日本企業はこんなにも大規模な漏洩を繰り返すのでしょうか。根本的な原因は、企業がやたらと個人情報を集めたがる一方で、漏洩した際のペナルティーが極めて軽い点にあります。

　現代のサイバーセキュリティーは攻撃する側が圧倒的に有利であり、外部からの攻撃を100％防ぐことは不可能に近いという指摘があります。だからこそ、「そもそも不要なデータは持たない」「退会者のデータや不要になった画像ファイルは速やかに完全削除する」という最小保持の原則こそがサイバー防衛の基本なのです。

 　しかし企業は「いつかマーケティングに使えるかも」「何かの証明になるかもしれない」と、いつまでも情報を抱え込むことに執着します。そしていざ漏洩事故が起きても、公式サイトに謝罪文を載せ、該当者に個別メールを送り、せいぜい数百円分のギフト券やポイントを配って一件落着とする。要するに、情報保護のための強固なシステム投資や、適切なデータ破棄の仕組みを維持するコストよりも、謝って済ませる方がはるかに安上がりなのです。謝罪で済むのなら、企業が情報保護に後ろ向きになるのも当然の帰結と言えるかもしれません。

企業が吹き飛ぶほどの「厳罰化」が急務

　このいびつな現状を変えるには、欧米諸国のように、情報漏洩を起こした企業に対して「致命的」となる厳しい罰則を設けるしかありません。たとえばアメリカでは、連邦レベルの包括的法律はないものの、「故意の違反1件につき最大7,500ドルの民事制裁金」（カリフォルニア州）など州法で保護する動きがあります。EUのGDPR（一般データ保護規則）では、企業の存続すら揺るがす巨額な制裁金が設定されており、個人からの訴訟リスクも相まって、企業は甚大な財務的ダメージを受けます。 

　もし日本でも、今回のような数百万人規模の漏洩を起こせば会社が吹き飛ぶほどの賠償や罰金が科される法律があったならどうでしょう。企業は、7年前の退会者の免許証画像を漫然とサーバーに置いておくような無責任な真似は絶対にしないはずです。日本企業を情報防衛に本気にさせるためには、法的な厳罰という外圧が必要なのです。

私たちの身を守るための「3つの鉄則」

　とはいえ、法整備を待っていては私たちの個人情報は守られません。一人の消費者として、今後の防衛策はどうすべきでしょうか。有識者などの意見を総合すると、3つの鉄則があるようです。

　第一に、自分の個人情報を「危険物」と同じように扱うこと。やたらと情報を集めたがる企業、特に利用目的から考えて不釣り合いなほど詳細な属性情報や身分証明書のアップロードを求めてくるアプリには、安易に登録しないことです。

　第二に、使わなくなったサービスは絶対に放置せず、速やかに退会処理を行うこと。今回のように退会後も残される理不尽なケースもありますが、放置し続けるよりは確実にリスクを減らす第一歩になります。

　第三に、すでに免許証画像などの漏洩被害に遭ってしまった場合は、ただ通知メールを見て呆れるだけでなく、信用情報機関への本人申告を行い、自分の名義を使った不正なローン契約やクレジットカード作成を防ぐ措置を検討すべきです。

　個人情報は、一度流出してしまえば取り戻すことはほぼ不可能。「悪用されるかもしれない」というリスクに怯えながら生活しなければならないストレスも計り知れません。企業が「謝罪して済む」という甘い考えを捨てない以上、私たちは自らの手で情報を守るため、あらゆる企業に対して最大の警戒を払って付き合っていく必要があります。

【石橋雅子】