個人情報の漏えいが、もはや「たまに起きる事故」ではなくなっている。9月中旬からの約3週間だけで、名の知れた企業やサービスの公表が20件を超えた。この夏からの3か月で数えると、30社近くに及ぶ。原稿を書いている前日にも、大手クラウド事業者がランサムウェアの被害を公表し、約500の企業や自治体に影響が広がった。

個人情報保護委員会は10月7日、企業に向けて緊急の注意喚起を出した。ただ、その中身を読むほど、「攻めてくる側」への備えより「守る企業」への指導が中心になっていると感じる。

免許証の画像が、1枚20円で売られている

日本最大級のカーシェアサービスでは、約660万アカウントの情報が漏えいした。そのうち約160万件には、運転免許証などの本人確認書類の画像が含まれていた。対象には、退会した人や入会手続きを終えていない人も含まれている。勢いのある焼肉チェーンの公式アプリでは、約1,079万件の登録情報が漏えいした。

ある民放の報道によると、中国語で書かれた闇サイトで、日本の運転免許証の画像1,000枚が約2万円で出品されていたという。1枚あたり約20円だ。保険証やマイナンバーカードの画像も売買されていると伝えている。

国の注意喚起は、企業の不備を正す内容が中心

委員会の注意喚起では、過去の漏えいを9つの事例に分けて対策を示している。脆弱性の放置、不正ログイン、海外拠点やグループ会社の管理不足、APIの悪用など、どれも企業側の不備だ。

国も、攻撃する側への備えを始めてはいる。10月1日から、警察と自衛隊が攻撃に使われているサーバーに入り込み、無害化する措置を取れるようになった。警察の措置は、海外にあるサーバーも対象になる。ただ、政府が通信の情報を分析する仕組みは、2027年秋に始まる予定だと報じられている。国の守りは、まだ半分しか動いていない。そして、一度盗まれたデータは、どんな措置を取っても戻ってこない。

読めない同意書と、消えないデータ

企業の姿勢にも疑問がある。サービスを使うには、長い同意書に同意するしかない。個人情報を預かるのは企業の方なのに、なぜ預ける側が一方的に条件をのまされるのだろうか。消費者契約法では、企業の故意や重大な過失による損害まで、すべて免責する条項は無効とされている。それでも、漏えいへの対応は「お詫び」で終わることが多いと感じる。

個人情報保護法第35条では、利用する必要がなくなった場合や漏えいが起きた場合などに、本人が消去を請求できる。理由があれば、企業は消さなければならない。一方で、企業が自分から不要なデータを消す義務は「努力義務」にとどまる。委員会自身も今回の注意喚起で、不要なデータを消さなかったことで「漏えい等事案がより深刻化するといった事例にも接しています」と書いている。

止めるのが難しいDM

広告メールは、事前に同意した人にしか送れない決まりになっている。ただ総務省のガイドラインでは、申込画面で最初からチェックが入っていても、利用者が認識できる表示なら同意として認められる。一方で、配信停止にログインを求めることを禁じる規定は見当たらない。簡単な停止方法は「推奨」されているだけだ。

アメリカでは、配信停止にメールアドレス以外の入力やログインを求めることが禁じられている。EUのGDPRは、同意の撤回を「同意するのと同じくらい簡単に」できるよう定めている。営業電話についても、アメリカには登録した番号への勧誘を禁じる「Do Not Call」の制度があるが、日本にはない。弁護士会が何度も導入を求めているのに、制度化には至っていない。

ちなみに委員会のガイドラインには、DMの停止を求めたのに送り続けられる場合、利用停止を請求できるという例が載っている。消費者にも権利はある。ただ、それを自分で行使しなければ止まらない仕組みには疑問が残る。

フィッシング対策も、企業への「要請」が中心

フィッシングの報告件数は、2024年に約172万件、2025年には約245万件と過去最多を更新した。国はクレジットカード会社や通信事業者に、なりすましメールを見分ける仕組み（DMARC）の導入を要請してきた。ただ、それは法的な義務ではなく「お願い」だ。

その間に、攻撃者は自前のドメインを使い、この仕組みをすり抜けるメールに切り替えた。2025年12月には、フィッシングメールの約75%がDMARCを通過していたという。企業任せの対策は、すぐに回避されてしまう。

データの行方を、消費者は追えない

消費者は、自分の情報がどこに保存され、いつ消されるのかを確かめられない。退会したはずのサービスから情報が漏れたと知って、初めて「まだ残っていたのか」と気づく。

マイナンバーカードのICチップには、税や医療の情報は記録されておらず、情報は各機関で分散管理されている。ただ、企業から少しずつ漏れた身分証の画像や個人情報が、闇市場でつなぎ合わされたらどうなるか。政府のシステムを一度も破らなくても、日本人の名簿ができあがってしまうのではないかと心配になる。

見えない安全保障の問題として

警察庁は2025年、政府機関などを狙ったサイバー攻撃について「中国の関与が疑われる」と公表している。データを盗む攻撃は、すでに国の安全保障に関わる問題になっていると思う。

領土は国が守る。けれど、国民のデータという「デジタルの領土」は、今も一つひとつの企業のセキュリティに任されている。

さらに気がかりなのが、制度と技術の速さの差だ。7月に成立した改正個人情報保護法も、全面施行は2028年までかかる予定だ。政府が通信の情報を分析する仕組みも、動き出すのは2027年秋とされる。法律は、議論から施行までに年単位の時間がかかる。一方で、システムの弱点をAIで探す技術は、日ごとに精度と速さを増している。制度が整うころには、攻撃する側はもう何歩も先にいるのではないか。 サイバーセキュリティで最も危惧されるのは、この差だと思う。

だからこそ、守る側もAIを使いこなし、攻撃を早く見つけて止める備えを急ぐ必要がある。国には、企業に注意を促すだけでなく、こうした備えを後押しする役割を果たしてほしい。法律が整うのを待っている間にもデータは盗まれ、一度盗まれた情報は二度と戻らない。守りは、盗まれる前に間に合わなければ意味がないと感じる。

（広報担当）