個人情報漏洩が相次ぐ今、タイムズカーやソースネクストの事例から考える資産の守り方

この秋、タイムズカーをはじめ多くの企業で個人情報の流出が相次いで報じられています。伊藤志保さん自身も、タイムズカーで免許証の画像が流出した被害者の一人です。

伊藤さんは、漏れてしまったものはどうしようもなく、大事なのはこの後どうするかだと話します。顔写真付きの本人確認書類が漏れたことは本当に怖い、と率直に打ち明けています。

そのうえで伊藤さんが掲げるのが「正しく怖がる」という姿勢です。怖がりすぎず、怖がらなさすぎないというバランスを、FPとITアドバイザーの視点から考えていきます。

前提となる事実として、伊藤さんは「事故ではなく攻撃を受けている」のが現状だと説明します。国家サイバー統括室国家サイバー統括室 ── 政府のサイバーセキュリティ政策をとりまとめる組織。番組では通称NCOとして紹介されています（NCO）も、いつ攻撃を受けてもおかしくない前提での対策を求めているそうです。

一方で、情報戦争や情報テロのような事態になるのでは、という不安は「あくまで個人的な想像」だと伊藤さんは断っています。誰が何のために攻撃しているのかは、公表されている範囲ではわかっていない、と補足しています。

伊藤さんはまず、直近で公表された主な漏洩事例を順に紹介します。数が非常に多く、ここ1か月ほどで事案が急増していることがうかがえます。

伊藤さん自身が対象になったタイムズカーは約666万アカウントが流出し、そのうち約160万アカウントでは免許証などの本人確認書類の画像まで漏れているとのことです。

伊藤さんが特に怖いと話すのは、セキュリティサービスも提供するソースネクストの件です。メールアドレスだけでなくパスワードも流出しており、対象者にはパスワード変更を求めるメールが届いているはずだといいます。

eストアーでは、約209万人分のカード名義と、カード番号の先頭6桁・下4桁が流出しました。セキュリティコードは対象外とのことです。ほかにもKDDIのISP向けメールで約1223万名（うち約761万名はパスワードも）、アフラックで約440万人（うち約22万人は保険料の振替口座も）といった事例が挙げられました。

伊藤さんは、これらの件数は単純に合計できるものではないと断りつつ、それでもこれだけの規模で流出していることがわかっている、と強調しています。

漏洩の経路として、伊藤さんは「委託先経由」と「共通の基盤経由」を挙げます。大和証券、第一興商、東京都水道局などは、システムの委託先を経由して流出したケースです。

JR東日本やJR九州などは、ソフトバンク子会社のIDCフロンティアというクラウドへの不正アクセスが共通の原因とされています。同じ場所が攻撃され、そこと契約していた企業の情報がまとめて流出したという構図です。

ほかにも、開発者が使うGitHubGitHub ── ソフトウェアのソースコードを保管・共有するための開発者向けサービス。認証情報が漏れると、そこから社内システムに入られるおそれがありますの認証情報経由でマネーフォワードやキャンプファイヤーが、管理者アカウント経由で楽天ドライブが被害に遭ったといいます。廃止すべきだったテスト環境から流出した金融機関の名前も挙がっているそうです。

ABEMA Primeは10月17日、専門家の見立てを紹介しました。国会議員でAIの専門家でもある安野さんは、今回の件は「氷山の一角」で、公表を控えている企業や気づいていない企業もあるのでは、と指摘したといいます。

集中して起きている背景には、AIによる加速があるのではとも言われています。少し開いていた鍵を、AIが数千・数万単位で一気に確かめるようなイメージです。NCOも10月13日に、AIによる脆弱性探索の高度化を挙げて注意喚起しました。

ただし伊藤さんは、AI原因説はあくまで「そういう見方もある」という段階で、確定事項ではないと念を押しています。

漏洩の連続を受けて、国も動いています。デジタル大臣は10月2日と6日の会見で国民に3つの対策を呼びかけ、一言でいえば「自分の情報は自分で守る」というメッセージを伝えたそうです。

金融庁は金融機関に対策強化を求め、2027年4月1日からの本人確認の画像方式の廃止について、早期移行を要請しています。免許証の画像をアップロードするやり方をやめ、ICチップで本人確認をする方式への切り替えです。

伊藤さんは、システムの話なので簡単ではなく、大手から順に進むのではと見ています。口座のある金融機関から案内が届いたら、しっかり目を通してほしいと呼びかけています。

民間ではマイクロソフトが10月14日、警察庁やJC3と連携し、日本を狙った3つの犯罪支援サービスの解体に着手したと発表しました。きっかけは警察庁からの情報提供だったそうです。

3つのサービスは役割が分かれていて、偽サイトや詐欺メッセージの送信がCOGUI、なりすまし用のテンプレート提供がIRONMAN、不正に取得したアカウントの販売がYAMSTOREだといいます。犯罪そのものが分業・産業化しているという見方もあるそうです。

今回の情報漏洩とこれらのサービスが直接つながるとまでは公表されていない、と伊藤さんは付け加えています。

伊藤さんが強調するのは、漏れた情報は人を騙すための材料になってしまうという点です。契約の悪用は先に塞がれても、人を騙す悪用は残ります。

伊藤さんは、外堀はもう破られている感覚で考えたほうがいいと話します。そのうえで、漏れたのは皆さん自身のせいではないということも、きちんと認識してほしいと伝えています。

自分が対象かどうかは各社の通知や公表で確認できますが、その通知を装った偽メールも届くため、届いたメールをすべて鵜呑みにはできないのが難しいところです。

本人確認書類の画像が漏れたことについて、伊藤さんは画像が漏れたからといってすぐ口座が作られるとは断定できない、と説明します。金融庁も非対面の本人確認で、画像や顔写真に不自然な点がないか確認を徹底するよう求めているそうです。

だからこそ、免許証やパスポート、そしてマイナンバーカードのように、ICチップでデジタル認証できる仕組みへの移行がいいと専門家も話しているといいます。ただ伊藤さんは、2027年4月まで半年以上あり、その間に犯罪が起きそうで怖いとも漏らしています。

日々の対策として伊藤さんが勧めるのは、メールが来てもリンクをクリックせず、公式アプリや公式サイトから確認する習慣です。カード情報の一部流出はセキュリティコードまで含まないためすぐの悪用は考えにくいものの、カード会社を名乗る連絡には注意が必要だと話しています。

伊藤さんが最後の砦として守るべきだと考えるのは、お金まわりとライフラインです。金融機関の情報流出と聞くと不安になりますが、漏れているのは金庫の鍵ではない、と伊藤さんは説明します。

金融機関では、個人情報とお金の情報が分けて扱われています。今回漏れているのは手前側の個人情報で、預貯金の残高や住宅ローンなどの借金の情報が流出したとはいわれていません。

伊藤さんは、銀行の窓口どころか、シャッターが開けられただけかもしれないとたとえています。そのくらい、お金やライフラインには強固なセキュリティが敷かれているそうです。

一方で、昨年急増した証券口座の乗っ取りは、証券会社への侵入ではなく、顧客の認証情報が盗まれたことが問題でした。それ以降、各証券会社や金融機関はログイン方法などのセキュリティを強化しています。

海外では、韓国の金融機関で融資申し込み情報が流出し、年収や限度額が出たという報道もあります。伊藤さんは、絶対大丈夫とはとても言えないと緊張感を持っています。

日本国内では、残高や借入額そのものが漏れたという公表は、伊藤さんが調べた限り見当たらないそうです。ただ、なりすましや詐欺の狙い撃ち、不安という心理的な負担はついて回るといいます。

マイナンバーについても、伊藤さんは非常に強固なセキュリティに守られていて、絶対とは言えないものの今のところ大丈夫だろうと話します。電力やガス、公共交通などライフラインのセキュリティについては、報道にもしっかり耳を傾けてほしいとしています。

情報はもう漏れている前提で、伊藤さんが個人でできる対策として挙げるのが次の4つです。

パスワードについて伊藤さんは、以前取ったアンケートで、一度設定したパスワードをずっと使い続けている人がほとんどだったと紹介します。忘れる不安があっても、財産と情報を守るために変えましょうと呼びかけています。

メールアドレスの使い分けは管理が大変になるため、どこまでやるのが正解かは現時点で示せないとしつつ、重要な対策だと話しています。使っていない口座については、仕事柄お試しで作った口座が多い伊藤さん自身も、解約を進める必要があると感じているそうです。

本人確認書類の画像アップロードについて、伊藤さんは漏れる覚悟で入れるくらいの「捨てアカウント」のような感覚が必要だと語ります。

困ったときはすぐに警察や金融機関、カード会社に連絡することが基本です。伊藤さんは11月21日（土）に、個人情報とお金の守り方をFPとITアドバイザーの視点で解説する有料セミナーを開くと告知しています。

まとめ

個人情報の漏洩が相次ぐ今、伊藤志保さんは「もう漏れている」前提で、怖がりすぎず油断もしない姿勢が大事だと話します。お金の金庫の鍵は守られている一方で、漏れた情報は騙しの材料になるので、日々の習慣で身を守っていきたいですね。

• 2026年10月だけで多くの企業から情報が流出し、委託先や共通基盤など自分の知らない経路から漏れることもある
• 金融機関で漏れているのは個人情報の側で、残高や借入額が漏れたという公表は見当たらない
• 漏れた情報は詐欺の材料になるため、メールのリンクではなく公式アプリや公式サイトで確認する
• パスワード変更、メールアドレスの使い分け、使わない口座の解約、本人確認画像の慎重な扱いが個人でできる備え