「顧客データ流出」でマイナンバーカードは大丈夫？ 個人情報の守り方を専門家が指摘
【前後編の後編/前編からの続き】
情報化社会とは、かくも脆弱（ぜいじゃく）である。先月発覚した「タイムズカー」の顧客データ流出に続き、不正アクセスによる企業の被害が相次いで判明、今や底なしの様相を呈している。いつ何時「丸裸」にされてもおかしくないわれわれは、どのように個人情報を守ればいいのか。
＊＊＊
【写真を見る】米企業にサイバー攻撃を仕掛けた、中国人ハッカーの顔写真
前編では、「顧客データ流出」でユーザーに訪れる「最悪のシナリオ」と、各社の発表のタイミングがズレる理由などについて報じた。
とはいえ、ネットをはじめデジタルとの関わりを一切断ち切り、カード類を捨てて現金だけの暮らしに戻るのは至難の業。であれば、サイバー攻撃の脅威にさらされるリスクを少しでも減らすべく工夫するほかあるまい。
独立行政法人情報処理推進機構（IPA）セキュリティセンター対処調整部の中島尚樹副部長が言う。
「もし利用しているサービスのパスワードが漏れたならば、直ちにそれを変更するのはもちろん、同じものを別のサービスで使い回している場合は、全て変更すべきです。長くて複雑なパスワードに設定する。これが基本対策です」
使い回していれば、攻撃者によってそのパスワードが新たな情報の抜き取りに利用されかねない。さらに、
「『多要素認証』『パスキー』を設定することで不正利用のリスクを減らせます」（同）
というのだ。
「多要素認証では、IDやパスワードを入力しただけではログインできません。例えば事前に登録してあるスマホにショートメッセージが届いて、そこに何桁かのワンタイムの認証コードが表示される。このコードをサイトに追加入力して初めて、ログインできるという仕組みです。現在はほとんどのサービスで設定できると思います」（同）
続けて、
「パスワードの代わりにスマホなどで指紋や顔などの生体認証を使ってサイトにログインする方法がパスキー。セキュリティー面で効果が高いといわれています」
「アプリに登録すれば割引」は要警戒
サイバーセキュリティーに詳しい神戸大学の森井昌克名誉教授も、
「パスキーは技術的には、公開鍵暗号方式という方法を用いています。認証に必要な秘密の情報をサービス側に渡さず認証できるため、通信情報を盗み見られたとしても、それだけで簡単に不正ログインされることはありません。多要素認証ともども、大手銀行のネットバンキングやネット証券などで導入する動きが広がっています」
手を替え品を替え、銀行や証券会社をかたったフィッシングメールはわれわれに襲いかかってくる。そんな中、個人でできる有効な防犯対策なのである。その一方、
「個人情報は、一つのサービスから漏れた情報だけが悪用されるとは限りません。さまざまなサイトから漏れた情報を集めて照合する『名寄せ』が行われることもある。氏名と住所が漏れたとして、過去にその人の趣味や関心事などが漏れていれば、それを組み合わせて一人の人間の詳細な情報が形作られるのです」（同）
としながら、
「アマゾンや楽天などの通販サービスでは、氏名や住所、電話番号やメールアドレスのほか、誰が何を購入したのかという履歴が大量に蓄積されています。それを分析すれば、その人の趣味や生活習慣などが推測される可能性がある。プライバシーに関わることまで知られてしまう恐れもあるのです」（同）
金融機関のサイトに比べて手軽にアクセスでき、買い物も簡単。それがかえって弱点となりかねないのだ。
「日頃できる対策は、必要以上の個人情報を渡さないことです。サービスを利用するために情報を提供しなければならない場合もありますが、登録を求められたからといってそのまま入力するのではなく、本当に必要なのかを考えましょう」
森井名誉教授はそう指摘して、
「例えば今回情報が流出した『焼肉きんぐ』のような飲食店。私もたまに食べに行きますが、アプリに登録すれば割引になると案内されたことがあります。ただし、ダウンロードするだけでなくメールアドレスやパスワードの入力が必須で、氏名や誕生日などの項目も任意で求められます。私は基本的に、そうしたサービスには登録しません」
食事だけの利用がリスクを減らすことにつながるというのだ。最近の飲食店では、人件費削減のため店員を介さず、スマホによるQRコードの読み込みで注文や会計を済ませるスタイルが広がっている。その際にアプリでの会員登録などを求められることもあるのだが、セキュリティーの観点からこうした登録は見送るべきだというわけである。
加えて、前出のIPA・中島副部長は、
「入力する情報は必要最低限にとどめる。そして使っていないアプリやアカウントは削除・退会することも、対策としては有効です」
[1/2ページ]
