ヤマト531万件流出、8年分の注文記録はなぜ消えなかったのか

ヤマト運輸が10月16日、「クロネコ代金後払いサービス」への不正アクセスについて、調査結果を出した。外へ持ち出された情報は、合わせて約531万件。通販で買った物を先に受け取り、あとから代金を払う仕組みを使った人たちの記録だ。クレジットカードの番号とパスワードは含まれていない。

引っかかるのは、件数よりも中身の古さだ。利用者の情報は約526万件で、対象は2018年10月1日から2026年9月28日まで。まる8年分ある。8年前に一度だけ後払いを使った人の、氏名、住所、電話番号、そのとき何をいくつ買ったかという商品明細まで、そろって残っていた。

経緯はこうだ。ヤマト運輸は9月28日に不正アクセスを確認し、サービスを止めた。10月2日にその事実を公表し、10月9日に再開している。16日に出たのは、何がどれだけ持ち出されたかの報告だ。個人情報保護委員会にも報告したという。

内訳も出ている。メールアドレスが含まれるものが約49万件。荷物のお届け先の情報が約5万件。通販会社など加盟店の名前とコードが約4,100件。

大丈夫なのか。ヤマト運輸は、持ち出された情報が悪用された被害を、いまのところ確認していないとしている。ただ、心当たりのない不審なメールやSMSが届いたという問い合わせは来ている。メールのURLや添付ファイルは開かずに消すよう呼びかけている。不正アクセスの原因や侵入口については、公表された文書に書かれていない。

8年分が、なぜ残っていたのか

ヤマト運輸は、8年分を持っていた理由を説明していない。ただ、関係する決まりを並べてみると、形は見えてくる。

まず、消すほうの決まり。個人情報保護法は、個人データを「利用する必要がなくなったときは」「遅滞なく消去するよう努めなければならない」としている。個人情報保護委員会も、法律は保存期間や廃棄の時期を具体的に決めていない、と説明する。何年で消せ、という数字はどこにもない。しかも努力義務だ。

次に、残すほうの決まり。国税庁によると、法人は帳簿や領収書などを、原則7年間とっておかなければならない。帳簿書類の保存義務である。後払いは、代金を請求して回収する仕事そのものだ。取引の記録を、気軽には捨てられない立場にある。

消すほうは「努めなさい」。残すほうは「しなければならない」。強いのは、残すほうだ。8年分がそろって残っていたことは、一社のだらしなさというより、いまの決まりの形から出てくる結果に見える。ここは筆者の見方だ。

ネットの評判

はてなブックマークでは、ヤマト運輸の公式のお知らせに、ここ最近の漏えい発表を会社名で並べていくコメントが付いた。「決済のしくみが狙われやすいのか」と問う声や、「急に増えたのか、前からあったのか」と戸惑う声もある。「世の中が壊れていく」という書き込みもあった。

ただ、数は多くない。16日の夕方の時点で、このお知らせを登録した人は26人、コメントは5件だった。531万件という数字の割に、受け止めは静かだ。どれだけの期間の記録が残っていたのかに触れた声は、見当たらなかった。

申し込んでいない人の名前も入っている

お届け先の約5万件には、氏名、住所、電話番号、送り状番号が含まれる。対象は2021年2月5日から2026年9月28日までだ。

ここが、ほかの526万件と少し違う。お届け先として書かれた人の中には、自分では後払いを申し込んでいない人がいる。贈り物や立て替えで、名前と住所を書かれた側だ。申し込みも、支払いもしていない。それでも記録には残り、今回、外に出た。

ヤマト運輸は、この件の問い合わせ用に、専用のメール窓口を設けている。

後払いを一度も使っていなくても、だれかが後払いで買った荷物を受け取っていれば、自分の名前と住所は、その5万件の中にあるかもしれない。