情報流出のあとに届く「お知らせ」が、いま一番怪しい

ローソンで215万5345件、ブックオフで最大約643万件。10月8日と9日、個人情報が漏れたという発表が続いた。ローソンは8日に共通アカウント「ローソンID」への不正アクセス、ブックオフグループホールディングスは9日に子会社の会員管理システムからの流出の可能性を公表した。

JR東日本グループも9日、「えきねっと」約167万件、ビューカード約403万件などでメールアドレスが漏れた恐れを公表した。原因は、サーバーを借りていた先のIDCフロンティアへのランサムウェア攻撃だ。影響は495の企業・自治体に及ぶ。

mixiの話題数ランキングでは13日、時事通信の「相次ぐ情報流出、対応に政府苦慮」が1位だった。政府は注意を呼びかけるしかない、という記事だ。では、自分の手元には何があるのか。届く通知と、パスワードくらいだ。

届く「お知らせ」が、一番怪しい

まず通知。ローソンは対象の人に順にメールを送る。送信元は「lawson_id@mailservice.lawson.jp」または「lawson_id@id.lawson.jp」。ブックオフは13日、対象の638万3279人に15日から個別に知らせると発表した。

ここが、ややこしい。ローソンは10月1日、自社のメールサーバーが勝手に使われたと公表していた。英語の不審なメールが、9月25日から27日に約70万件（推計）出ていった。件名は「Mutual Benefit」または「RE」。返信せず削除してほしい、という。

U-NEXTは10月3日、他社と同じか似たパスワードならすぐ変えてほしいと呼びかけた。そのうえで、パスワード変更を求めるメールやSMSは送らないと先に知らせた。メールのリンクは押さず、公式サイトやアプリから自分で開く。デジタル庁もそう言っている。

変えられるものと、変えられないもの

次にパスワード。ブックオフの流出には、氏名や住所に加えてパスワードのハッシュ値が含まれる。同じものをほかで使っているなら変えてほしい、という案内だ。古川俊治デジタル相も6日の会見で、三つを挙げた。パスワードを使い回さない。多要素認証を使う。不審なメールやSMSに気をつける。

変えようがないものもある。カーシェアのタイムズカーでは、運転免許証などの画像が漏れたアカウントが約160万件あり、9月29日から通知が始まった。免許証の画像は、パスワードのようには取り替えられないだろう。金融庁は9日、画像を送る本人確認からICチップの読み取りへ、2027年4月の施行を待たず移るよう金融機関などに求めた。

画像が出てしまった人には、日本信用情報機構（JICC）などの信用情報機関に「本人申告コメント」を登録する手がある。スマホアプリで700円、5年間だ。

ネットの評判

Yahoo!ニュースの時事通信の記事には、13日時点で831件のコメントが付いた。管理できないなら集めないでほしい、という声が多い。AIを使った攻撃に「パスワードに気をつけて」では時代遅れだ、という書き込みも目立つ。

使い回しをやめてほしい、と各社は言う。ただ、トレンドマイクロの3月の調査では、1,034人のうち84.3%が複数のサービスで同じパスワードを使っていた。理由の1位は「異なるパスワードを設定すると忘れてしまう」で74.3%。いまの注意喚起は、その8割に向けて出されている。