エクスプレス予約やSMBCの情報漏えい。委託先経由のリスクと二次被害への備え

番組「デジタル生活の歩き方」の伊藤志保さんは、このところ不正アクセスや個人情報の漏えいが毎日のように報道されていることから、今回も情報漏えいをテーマに選びました。

伊藤さんがまず抱いたのは、「自分の情報が漏れていることはわかった。では一体どこで漏れているのか」という素朴な疑問です。そこでChatGPT（通称チャッピー）とClaudeに、いま情報漏えいしている企業がどれだけあり、どんな会社なのかを調べさせました。

調べるにあたって伊藤さんの頭にあったのは、今年の春ごろに登場した高性能な生成AI、Claude Mythosの存在です。一般には公開されておらず、これまで見つからなかったシステムのバグを瞬時に見つけてしまうため、金融機関でさえ対応が必要になるほどだったと伊藤さんは説明しています。

また伊藤さんは、ゴールデンウィークごろ、AIの専門家でもある参議院議員の安野さんがYouTubeで、今後こうした不正アクセスが増えるだろうと話していたのを聞いていました。5月から5〜6ヶ月たったいま実際に漏えいが相次いでいることから、伊藤さんは「素人ながらに」AIが少なからず影響しているのでは、と考えたといいます。

伊藤さんは、Claude Mythosが登場する前と後で、どれくらい不正アクセスや情報漏えいがあったのかをAIに比べさせました。あくまで個人的な興味からの調査だと前置きしています。

「前」の期間は、ChatGPTが世に出て爆発的に広まった時期を起点に、2022年12月から2026年4月3日まで。「後」の期間は、Mythos発表後の2026年4月8日のデータから収録日までです。漏えいが確定したものだけでなく、疑いのある事案も含まれています。

Mythos前の期間では、漏えいの可能性があるものも含めて194〜195件ほどが見つかりました。不正アクセスやランサムウェアランサムウェア ── 感染したパソコンやサーバーのデータを暗号化して使えなくし、元に戻す代わりに身代金を要求する不正プログラム。企業を狙った被害が多く報告されていますだけでなく、内部不正、メールの誤送信、設定の不備、データの紛失や誤廃棄など、人的ミスがかなり紛れていたそうです。

一方、Mythos発表後の期間で漏えいが確認された事案は、ソフトウェアの脆弱性脆弱性 ── プログラムの設計ミスや不具合によって生じる、セキュリティ上の弱点のこと。攻撃者に悪用されると不正アクセスや情報流出につながりますが最も多く、次いで不正アクセス、そして委託先や取引先からの漏えいが目立っていました。とくに9月は委託先経由のケースが非常に多かったと伊藤さんは話しています。

伊藤さんが前回の配信で紹介した委託先経由の漏えいは、メール配信サービスのCuenoteによるものです。調べていくと、JRのエクスプレス予約とスマートEXという、とても身近なサービスの名前が出てきました。

Cuenoteは、ユミルリンクという会社のメール配信サービスです。このサービス自体が不正アクセスを受けたため、エクスプレス予約やスマートEX以外の企業も同じルートで情報が漏れています。

エクスプレス予約とスマートEXでは、予約完了メールとお知らせ・メールマガジンでは送る仕組みが違い、今回漏れたのはお知らせを配信する側だったようです。会員登録しているからといって、全員の情報が漏れたわけではないと伊藤さんは強調しています。

漏えい件数は両サービス合わせて約17万3000件。漏れたのはメールアドレス、会員ID、氏名のカタカナ表記、会員種別で、クレジットカード番号や有効期限は対象外でした。伊藤さんは「一安心と言っていいのかどうかわかんないですけれども、とりあえず一安心」と受け止めています。

伊藤さんによれば、この件はJRから漏れたというより、ユミルリンクのメール配信サービスから漏れたものです。漏えいに変わりはないものの、この違いは知っておいてほしいと話しています。

伊藤さんは、よく知られた漏えい事例をいくつか紹介しています。サービスごとに扱う情報が違うため、漏れた情報の中身もそれぞれ異なるのが特徴です。

@cosmeは約300万人の会員がいるとされ、氏名や連絡先に加えて、肌質や髪質といったサービスならではの情報も漏れたそうです。ログインパスワードやカード情報は対象外でした。

良品計画が手がけるMUJIカードでは、約109万件のカード番号が全桁、外部からアクセスされた恐れがあるとのことです。無印良品に登録したクレジットカードではなく、MUJIカードを作った人のカード番号で、有効期限とセキュリティコードは含まれていません。

ドコモのマイドコモやドコモオンラインショップでは、本人確認書類の番号、携帯電話番号、契約情報、一部では金融機関名や口座番号まで対象になっているといいます。免許証なら免許証番号が漏れたことになりますが、マイナンバーの扱いについては伊藤さんにも詳細はわからず、該当者は企業からの案内を確認してほしいと呼びかけています。

伊藤さんは、こうした漏えいをもとに迷惑メールが相当数届くと見ています。Gmailなら不正なメールは直接迷惑メールフォルダに入りますが、別のメーラーでは通知が一瞬届いてしまい、そのままタップすると開いてしまうこともあると話しています。

また、どこの企業かは忘れたとしつつ、漏えいした企業の中には「メールではなく郵送で案内します」と説明しているところもあったそうです。伊藤さんは、料金後納の郵便は企業の情報を確認したうえでないと使えないため、料金後納で届いたものは「極めて本物に近い」とも考えています。

紙の郵便物が届いた場合は、書かれたコールセンターの番号などが本物かどうかをしっかり確認してから問い合わせるのもありだ、と伊藤さんは提案しています。

伊藤さんがとくに怖いと感じたのが、SMBCコンシューマーファイナンスの件です。11月5日の公表によると、提携銀行などのカードローンの保証業務に使うシステムが不正アクセスを受け、対象は最大32万人とされています。

漏れた項目は、氏名や連絡先のほか、運転免許証番号、勤務先、年収、保証額、保証開始日などです。

SMBCと直接取引がない人は気にしないかもしれません。ただ、生まれも育ちも福岡の伊藤さんが放っておけなかったのが、福岡銀行です。福岡銀行も11月5日に、保証提携先で起きた事案としてリリースを出し、対象者や漏れた可能性のある情報、今後の案内などを公開していました。

伊藤さんは、利用している会社やサービスが社内だけで完結しているとは限らず、カードローンやメール配信のように外部のサービスを使いながら提供されていると指摘します。聞いたことのない会社でも、案外関係あるかもしれないことが今回明らかになった、というのが伊藤さんの見立てです。

伊藤さんは、本当に漏えいしているなら二次被害も起こりかねないと考えています。そのうえで、知らない電話には出ない、メールは安易に開かずクリックもしない、動揺するくらいなら見ないほうがいい、と具体的に呼びかけています。

伊藤さんによると、安野さんをはじめとするAIの専門家たちは、これはまだ始まりかもしれないと話しているそうです。いま表に出ているのは、GMOの件のように夏ごろにすでに漏れていて、9〜11月に攻撃や発覚が続いたものではないか、という見方もできるといいます。

一件一件を詳しく見ないと事実はわからないと断りつつ、伊藤さんは、生成AIの性能が上がるほど、システムに不正アクセスして情報を抜き取り、悪用するリスクは今後高まっていくと考えています。

それならデジタルをやめて昔ながらの紙がいちばん安心だ、と考える人もいるでしょう。伊藤さんは、それもあながち間違いではないとしつつ、いまの世の中ではマイナンバーカード、免許証、パスポートのICチップによるデジタル認証が、より正確な本人確認の手段になってきていると説明します。

すべてのリスクを避けて生きるとコストも生きづらさも増しますが、安心を何より大事にする人がそれを選ぶのも許されること、と伊藤さんは話しています。一方で、デジタルやAIは悪いことばかりに使うものではなく、暮らしを良くするものであってほしい、とも語っています。

伊藤さんは、個人情報が漏れている前提でお金と個人情報を守る観点から、11月21日（土）に福岡で対面セミナーを開くと告知しました。どんな会社からどんな情報が漏れているか、デジタル詐欺の被害状況、具体的な行動や対策を話す予定で、定員は20人です。

まとめ

毎日のように続く情報漏えいは、エクスプレス予約やMUJIカード、ドコモ、SMBCコンシューマーファイナンスなど身近なサービスにも及んでいます。伊藤さんは、委託先を通じて思わぬところで自分の情報が漏れている可能性を踏まえ、漏れているかもしれない前提で暮らすことを勧めています。

• 生成AIで調べると、近年の漏えいは人的ミス中心から、脆弱性・不正アクセス・委託先経由へと目立つ原因が移っていました
• エクスプレス予約とスマートEXの漏えいはメール配信サービスCuenote経由で、会員全員が対象ではありません
• @cosmeの肌質やSMBC関連の年収・保証額など、サービスごとに漏れる情報の中身が違います
• 聞いたことのない会社の漏えいでも、福岡銀行のように利用中のサービスとつながっていることがあります
• 知らない電話に出ない、メールのリンクを押さない、問い合わせ先を確かめるといった「疑ってかかる」姿勢が大切です