個人情報が流出したら何をすべきか 元警察庁サイバー捜査課長が語る悪用の手口と自衛策
日テレNEWS
先月以降だけでも、顧客情報の流出や流出の可能性を公表する企業が相次いでいる。番組によれば、流出した情報には電話番号やメールアドレスだけでなく、運転免許証の画像やパスポート情報が含まれる例もある。司会者自身も「いくつか心当たりがある」と話した。番組では元警察庁サイバー捜査課長の棚瀬氏が、街頭で寄せられた疑問に答える形で、流出した情報がどう悪用されるのか、流出後に個人が何をできるのかを解説した。
電話番号・メールアドレスは「名前とセット」で危険が増す
都内に住む22歳の会社員からは、流出した情報がそもそもどう悪用されるのかという疑問が寄せられた。棚瀬氏はまず電話番号とメールアドレスを例に挙げた。電話番号が漏れれば不審な電話がかかってくる、メールアドレスが漏れればフィッシングメールが届く、という被害がすぐに想定できる。
棚瀬氏が「たちが悪い」と指摘したのは、これらが名前とセットで漏れていた場合である。相手の名前を呼びかけて警察を名乗る詐欺電話がかかってきたり、「警視庁捜査2課の○○です」と名乗る電話も想定される。フィッシングのメッセージでも、「ユーザー様」ではなく本人の名前が表示されるため、より騙されやすい状況に置かれる。情報が組み合わさることで、被害に遭うリスクが高まるという説明だった。
身分証明書の流出は「よりハードな情報」
運転免許証やパスポートといった身分証明書が流出した場合について、棚瀬氏は電話番号やメールアドレスに比べて「よりハードな情報」だと位置づけた。顔写真、住所、氏名、生年月日がそろっているためである。
悪用の例として棚瀬氏は、顔写真を差し替えて身分証を偽造し、ローンを組むケースを挙げた。また、顔写真を使って本人になりすましてSNSアカウントを作り、その偽アカウントで詐欺などの「作業」をするケースもあり、本人の知らないところでこうした悪用が実際に起きている例があると述べた。
「流出しました」という通知自体を疑う
都内に住む23歳の学生からは、情報が漏れた可能性があると分かったとき、何をすればいいのかという疑問が出た。
電話番号やメールアドレスについて、棚瀬氏が最初に挙げた注意点は、「あなたの電話番号やメールアドレスが漏れたかもしれません」というメッセージそのものがフィッシングである可能性を疑うことだった。そのうえで、実際に漏れている場合には、見知らぬ電話番号、特に海外からの「+」で始まる番号には出ないこと、流出が分かったタイミングで届く不審なメッセージについてはURLや添付ファイルを開かないことを勧めた。怪しいかどうかを見分けること自体がもう難しいので、一律に開かないのが安心だという考え方である。
司会者が、個人の名指しであっても警戒すべきかと確認すると、棚瀬氏はそこがポイントだと応じた。名指しだと安心しがちだが、それこそが犯人側のテクニックだと思ってほしいという。
身分証が流出した場合にできることは「ほぼない」
身分証明書が流出した場合について、棚瀬氏は「残念ながらないと思っていただいた方がいい」と率直に答えた。身分証の再交付を受けることはできるが、流出したデータそのものは消せないため、悪用されることは避けられないという見方だ。
そのうえで棚瀬氏が重要だとしたのは、自分が情報流出の被害者であることを示す通知などを手元に保管しておくことである。ローンの悪用であれば、ローン会社から身に覚えのない返済の連絡が突然来る。詐欺に悪用されたSNSアカウントであれば、警察から「これはあなたのアカウントですか」と連絡が来る。その際に、自分が流出被害に遭っていることを示すものを持っていれば、その後の警察やローン会社とのやり取りがスムーズになるという。司会者は、逆に言えばできることはこれくらいだということかとまとめた。
出演者の実感：「もう諦めている」
インターネット上で多くのアカウントを使っているという出演者は、自身の対応を問われ、「もう諦めている」と答えた。いつかこうなるだろうと思っていた節があるといい、数か月前に「ミソス」という新しいモデルが登場した際には、危険すぎるとして一部のテック企業やビッグテック、金融機関しか使えないようにするよう政府からブロックがかかるという話もあったことに触れた。そうしたことが行われている以上、個人ではどうしようもないという気持ちになっているのが正直なところだと語った。
それでも、やれることはやっておくべきだと考え、パスワードを使い回さないこと、ブラウザーごとに別々の自動生成パスワードに変えることを最近始めたという。
専門家が勧める3つの対策
この出演者の取り組みについて、棚瀬氏は「非常に素晴らしい」と評価し、改めて対策を整理した。
1つ目は使い回しをしないことである。犯罪者側は、入手したIDとパスワードを別のサービスでも使い回そうとする。同じパスワードを使っていれば、そこでも被害に遭ってしまう。
2つ目は多要素認証やパスキーの導入である。仮にパスワードが盗まれても、多要素認証やパスキーで本人確認ができなければ、犯罪者は最後まで到達できない。そうした仕組みのあるサービスを使い、自分で多要素認証を設定できるならそれを導入することが、今の時代には大事だと棚瀬氏は述べた。司会者はこれを、流出した先にもう1つ壁を作っておくことだと言い換えた。
3つ目はフィッシング対策である。メッセージに記載されたURLや添付ファイルを開くと騙されるため、一歩置いて行動することを勧めた。よく使うサービスは事前に正規のホームページをブックマークしておくか、公式アプリをダウンロードしておく。怪しいメールやメッセージからではなく、いったん外に出てそうした正規の入り口から入り直せば、フィッシング被害は防げると棚瀬氏は説明した。
医療現場からの視点
最後に、医療関係の出演者である高尾氏が医療情報について発言した。医療機関もほとんどが電子カルテになっており、これまではできる限り強固なバリアを張ってきたという。医療機関には外部に出てほしくない情報が山ほどあり、できることはやってきたものの、医療従事者自身はこの分野に決して詳しくない。そのため、専門家の知識を借りながら対策を進める必要があるという考えを示した。
こちらのように、先月以降だけでも顧客情報の流出、あるいはその可能性の公表が相次いでいます。正直、私もいくつか心当たりがあったりもするんですけども、流出した情報は電話番号やメールアドレスだけではなく、中には運転免許証の画像、あるいはパスポート情報なども含まれています。では、ここからは元警察庁サイバー捜査課長の棚瀬誠に詳しく伺います。お願いします。
よろしくお願いします。
街からも様々な疑問が聞かれました。まずこちら、都内に住む22歳の会社員の方。そもそも、この流出した情報というのはどのように悪用されるのかという点です。ちょっと今、2つに分けてますけども、まず電話番号、メールアドレス、これ様々な流出がありましたが、どうなんでしょうか？
はい。これ、例2つですけれども、まず電話番号ですと思いつくのは、まさに不審な電話がかかってくる。メールアドレスであれば、フィッシングのメールが届くということが想定できますけれども、たちが悪いのはこれだけではなくて、名前とセットで情報が漏れていたとすると、例えば、さんと言って警察をかたる詐欺電話がかかってくる。警視庁捜査2課の何とかですっていうのも想定されますし、メッセージには「ユーザー様」ではなく「様、ほにゃほにゃ」と出ますので、まさに、よりだまされやすい環境に陥ります。
組み合わさると、やっぱり引っかかりやすくなるというリスクが増えるんですね。
はい。
となりますと、この免許証やパスポートなどといった身分証明書が流出した場合って、これどういったリスクが？
はい。もう、これに比べると、よりハードな情報ってことになります。顔写真もあれば、住所も名前も生年月日もということになりますので、場合によっては顔写真を差し替えて偽造してローンを組むみたいなものもあれば、この顔写真を利用しながら、まさになりすましてSNSアカウントを作って、この偽のアカウントで詐欺をすると。知らないところでそういうふうに悪用されるという例も現にあります。
なるほど。そうなってきますと、こちらの続いて、都内に住む23歳の学生さんからの疑問なんですが、じゃあ情報が漏れた可能性があると分かって、一体僕たち何をすればいいんですかと、気になるんですよね。まずこれ、電話番号、メールアドレスが漏れた可能性があると通知が来てしまった場合は、どうすればいいでしょうか？
はい。まず、そもそも「あなたの電話番号、メールアドレスが漏れたかもしれませんよ」というメッセージすら、フィッシングの可能性があると思ってください。その上でですけれども、実際に漏れてるとすると、先ほどの例で悪用されて電話がかかってくる、メールが来るということになりますので、変な電話番号、場合によっては海外のプラスとかですね、もう出ない。
次に、フィッシングメールと思われる怪しいメッセージ。ただ、こう言いましたが、怪しいかどうかもう分かりませんから、このタイミングの変なメッセージについては、もうURL、添付ファイルは開かない。これが安心です。
なるほど。例えば、個人の名指しであっても、警戒はしっかりしておくと。
はい。そこがポイントで、個人の名指しだと安心しがちですけども、それが彼らのテクニックだと思ってください。
なるほど。では、身分証明書、よりハードな情報とおっしゃいましたが、こちらが流出した場合、できることはあるんでしょうか？
はい。残念ながら、ないと思っていただいた方がいいと思います。新しい身分証明書を、再交付を受けるってことはできますけれども、実際に流れてしまったデータというのはもう消せませんから、このデータが悪用されます。
その際ですけれども、これはもう甘んじて悪用を受け入れるしかないわけですが、ローンの例であればローン会社から「お金返してください」と知らない連絡が突然来ますし、詐欺に悪用された偽アカウントであれば「これ、あなたのものですか」って警察から連絡が来ますので、そうすると、自分が被害に遭っているという控えを持っておくと、まさに情報流出の被害者になるので、その後の警察なりローン会社とのやり取りというのはスムーズになるという意味では、手元に持っておくということが重要だ。
できるとすれば、逆に言うとこれくらいということですね。ランさんは、もうインターネット時代で、それこそいろんなアカウントを使われてると思うんですけど、どうしてらっしゃるんですか？
もう僕も諦めてますね。
諦める。
もうどうしようもないと言いますか、いつかこうなるだろうなと思っていた節はありますし、それこそ数か月前に、ミソスって新しく出てきた時なんかは、もうちょっと危なすぎるってことで、一部のテック企業、ビッグテックだったりだとか、あとは金融機関しか使えないようにしようみたいなブロックが政府からかかるみたいな話もありましたし、そういうことがもう行われている以上、もうちょっとどうしようもないのかなっていう気持ちにはなってるなっていうのが正直なところですね。
一応、ただやれることはやっておかなきゃなと思うので、パスワードを自分たちで守るようにしたり、それこそ同じパスワードを使い回さないとか、ブラウザーごとにパスワードを別々の自動生成のものに変えるみたいなことは、最近やり始めてますね。
そうです。こういった対応、どうでしょうか？
はい。非常に素晴らしいと思います。今、岸さんおっしゃったのは使い回しですけれども、犯罪者側からすると、1つ入手したID、パスワードを彼らも使い回そうとします。同じパスワードを使っていれば、ここがまた被害に遭ってしまいますから、まず1つには使い回しをしないというのが大事。
次に、パスワードが仮に盗まれたとしても、その上で多要素認証ですとかパスキーがないと、本人認証できなければ犯罪者側は最後まで行けませんので、そういった意味ではそういうサービスを使うなり、自分でも多要素認証が使えるんであれば、そっちを導入するっていうのが今の時代、大事だと。
流出した先にもう1個、壁を作っておくという。
はい。最後に、先ほどフィッシングの話をしました。メッセージっていっぱい届きますので、URL、添付ファイルを開くとだまされますから、一歩置いて、よく使うサービスは事前にブックマークをしておいて、正規のホームページを置いておくと。あるいは公式アプリをダウンロードしておけば、1回外に出て、怪しいメール、メッセージじゃないところから入り直すと、フィッシングの被害というのは防げます。
安心できる場所を確保しておくという。この辺り、高尾さん、医療情報もひとごとではありませんよね。
いや、医療機関もほとんど電子カルテになってますけれども、なるべく強固なバリアを張ってきたっていうのが、これまでですよね。できれば流出されたくない情報が山ほど入っていますから、できることをやってきたけれども、医療従事者自体は決して詳しくないので、あの方たちの専門的な知識をいただきながら、対策が必要かなと思ってます。
そうですね。ここまで、田さんにお話を伺いました。どうもありがとうございました。
ありがとうございました。
記事公開 · 更新