日経の183万件漏えい、だれの情報か分かるのは15万件

日本経済新聞社は10月16日、システム開発に使っているクラウドサービスが不正アクセスを受け、約183万件の個人情報が漏れたと発表した。ただ、183万人が同じものを抜かれたわけではない。氏名、メールアドレス、住所、電話番号、生年月日のどれかが入っていたのは約15万件で、残る約168万件は「単体では個人を特定できない識別子」だけだった。

183万件は、二つに分かれる

日経の発表では、15万件のうちメールアドレスが入っていたのは約12万件。自分がだれなのか分かる形で漏れたのは、183万件の1割に満たない。

では、残りの168万件は何なのか。ここが、ややこしい。日経は「単体では個人を特定できない識別子」としか書いていない。どのサービスの、どんな番号や記号なのかは、日経の記事には書かれていない。

経緯はこうだ。不正アクセスがあったのは10月7日の未明から朝にかけて。クラウドに置いていた個人情報が持ち出された。日経は10月11日、個人情報保護委員会に報告した。16日の時点では、漏れた情報が悪用された二次被害も、システムが止まる・データが書き換えられるといった異常も確認されていないという。

数字が大きいほど、中身は薄い

同じ16日の午後、ヤマト運輸も発表した。「クロネコ代金後払いサービス」の利用者の情報が、約531万件流出した。こちらは氏名、住所、電話番号、メールアドレスがそろっている。2018年10月以降の利用者分だ。TBSの報道によれば、不審なメールや電話があったという問い合わせがすでに届いている。

531万と183万。数字だけ並べると前者が大きい。でも、危なさの順番は件数では決まらない。日経の168万件は、それだけでは名前にたどり着けない識別子だ。ヤマトの531万件は、そのまま宛名が書ける。

では、日経の件で心配したほうがいいのはだれか。メールアドレスが出た約12万人だ。日経はこの秋、メールまわりの被害を立て続けに公表している。10月4日には、社員のMicrosoft 365のアカウントが攻撃を受け、9月30日に社内外へ約9000件のなりすましメールが送られたと発表した。Google Workspaceへの不正ログインで、1646人分の氏名やメールアドレスが漏れた可能性も公表している。日経を名乗るメールを作るための材料が、この半月で何度も外へ出た形だ。

ネットの評判

はてなブックマークでは、この日経の記事に24件のブックマークが付き、公表のタイミングへの批判が目立った。あるユーザーは「国には11日に報告してるのに、記事にして公表するのは金曜日の15時までひっぱったの？」と書いた。「11日に発覚して報道に時間かけすぎじゃないか」という声もあった。

2週間前に日経の社説がパーク24の情報管理体制を批判していた、という指摘も出ている。一方で「自分でちゃんと報じてるのは偉い」と評価する声や、「少なっ。昨今は1000万超えじゃないと話にならんぞ」と、件数の感覚が変わってしまったことをぼやく声もあった。

法律で期限が決まっているのは、国への報告のほうだ。不正アクセスで個人情報が漏れたときは、件数に関わらず速報を出す義務がある。日経の報告は、7日の不正アクセスから4日後の11日。期限は守っている。読者が知ったのは、その5日後だった。

183万件のうち、だれの情報かが分かるのは15万件。自分がその中にいるのかどうかは、日経の記事からは分からない。載っているのは、問い合わせフォームの案内だけだ。