個人情報流出はなぜ相次ぐ？免許証画像まで狙われる異様な事態とAI悪用疑惑

タイムズカーで運転免許証画像などが漏えいし、飲食、小売、金融関連でも被害公表が相次いでいます。サービスに登録した情報が、なりすましや詐欺の材料になる事態です。専門家はAI悪用の可能性を指摘していますが、一連の事案でAIの使用が確認されたわけではありません。日本語の壁が低くなるなか、企業の基本的な管理不備も問われています。何が起き、誰が利益を得るのでしょうか。

免許証画像まで流出！被害は「迷惑メール」では済まない

個人情報流出の発表が、業種をまたいで続いています。タイムズカーでは約660万件のアカウント情報が漏えいし、パーク24は2026年9月29日、運転免許証画像などの本人確認書類が漏えいしたアカウント数を約160万件と発表しました。運転免許証画像だけでなく、現住所確認書類、学生証、家族確認書類の画像も含まれます。

10月6日の報道では、ミスターマックスやGMOリサーチ＆AIなどでも、大量の個人情報の流出や、その可能性が伝えられています。ただし、確認済みの漏えいと「漏えいした可能性」は区別が必要です。公表された件数は、必ずしも人数を意味しません。複数のサービスで同じ人の情報が流出している可能性もあるため、単純に合計して被害者数とすることはできません。

深刻なのは、情報の量だけでなく種類です。氏名や連絡先が知られれば、実名を使った詐欺で相手を信用させやすくなります。免許証画像まで攻撃者の手に渡れば、他の情報や偽造技術と組み合わせ、本人を装った口座開設、クレジットカードやローンの申し込みに悪用されるリスクがあります。

もっとも、画像があれば必ず口座を開設できるわけではありません。金融機関などの本人確認方式によって防げる場合もあります。それでも、パスワードのように簡単に取り替えられない情報が、長期間悪用され得る点は重い問題です。

「日本語の壁」は低くなったが、原因はそれだけではない

海外から届く不自然な日本語のメールを見て、詐欺ではないかと感じた経験はないでしょうか。日本語は、攻撃者が相手をだます際の障壁の一つでした。しかし、それは日本のシステム全体を守る防壁ではありません。ソフトウェアの欠陥を突く攻撃に、自然な日本語は必要ないからです。

生成AIは、その限られた障壁も低くしています。自然な敬語で案内文を作り、企業や利用者に合わせて内容を変える作業が容易になります。今後は文章の違和感だけで、本物か偽物かを見分けることが一層難しくなるでしょう。

一方、侵入の入口が増えていることにも目を向ける必要があります。会員アプリ、予約サイト、問い合わせ窓口をオンライン化すれば、それぞれに認証やアクセス権の管理が必要です。委託先に顧客情報を預ける場合は、自社の管理だけでは守り切れません。

マクニカのセキュリティ研究センターが2026年10月7日に公表した分析では、国内法人が運営するWebシステムを通じた個人情報の窃取・漏えい事案のうち、類似の特徴を持つと判断した事案について、2026年の公表件数が10月6日時点で119件に上り、うち81件が7月以降に公表されています。全漏えい事件を網羅する統計ではありませんが、夏以降に集中する傾向は読み取れます。

連日の発表は、連日の侵入を意味するとも限りません。発覚や調査、公表には時間差があります。日本語の壁の低下、攻撃の効率化、管理すべきシステムの増加を合わせて考えることが重要です。

AIの「暴走」より悪用、情報を集める経営も転換へ

マクニカなどの専門家は、サイトごとに異なる機能や不備を広範囲に調べる攻撃の動きから、AIが悪用されている可能性を指摘しています。ただし、一連の事案でAIの使用を断定できるログや痕跡は確認されていません。AIが自ら意思を持ち、企業を襲い始めたことを示す証拠はありません。ただし、AIを悪用したとしても、どの工程を任せたのか、どこまで自動化したのかは個別に調べなければ分かりません。

マクニカは、対応事案の分析から、サイト固有のアクセス権や設定、認証の不備を広く探る動きを確認しています。AIが未知の共通ソフトウェアの欠陥を発見し、それを悪用した状況は、現時点では確認されていないとしています。「AIなら何でも突破できる」と考えると、直すべき基本的な弱点を見失います。

誰が何のために仕掛けているのかも、断定はできません。一般に盗んだ情報の転売、詐欺、金銭の要求などが動機になりますが、一連の事件が同じ集団の犯行か、特定の国が関与したかは別問題です。被害が集中した事実だけでは判断できません。

企業には「個人情報を集めておけば将来使える」という発想の見直しが迫られます。本人確認や法令上の保存に必要な情報があります。それでも、画像そのものを長期保管する必要があるか、目的を果たした後も残すべきかは、情報ごとに検討できます。

取得目的、保管期限、閲覧できる担当者、委託先への提供範囲を決め、不要なデータを削除することです。法令や契約上の保存義務を確認したうえで、画像の保存を本人確認済みの記録で代替できるかも検討対象になります。必要な情報を守る仕組みと、持たなくてよい情報を減らす仕組みを、一緒に設計する必要があります。

顧客データは収益を生む資産ですが、漏えい時には調査、通知、復旧、顧客対応の負担を生みます。信頼を失えばサービスの継続にも響きます。情報をどこまで取得するかは、担当者だけに委ねる問題ではなく、経営判断にかかわります。

中小企業は優先順位を、利用者は二次被害への備えを

「日本のセキュリティは安全か」という問いに、国単位の答えは出せません。安全性は企業やサービスごとに異なります。大企業でも事故は起きますが、中小企業が対策を諦める理由にはなりません。人材と予算が限られるほど、守る対象と順番を明確にすることが大切です。

まず、公開中のサイトやアプリ、保有する個人情報、管理を委ねた相手を把握します。そのうえで、ソフトウェアの更新、管理者の多要素認証、不要な権限の削減、アクセス記録の保存と点検を進めます。Web機能のアクセス制御は、開発・運用会社と確認する必要があります。

バックアップは業務復旧に重要ですが、盗まれた情報の回収はできません。侵入防止、早期発見、流出範囲の抑制、復旧を分けて備えることです。IPAの中小企業向けガイドラインや外部専門家を活用し、事故時の連絡先と役割も決めておきます。

利用者が企業内の漏えいを直接止めることは困難です。それでも、パスワードを使い回さず、多要素認証を設定することは、被害の連鎖を減らします。届いたメールのリンクからではなく、公式アプリなどから通知を確認し、カードや口座の明細も点検する必要があります。

本人確認書類が流出した場合は、信用情報機関への本人申告も選択肢です。指定信用情報機関のCICは、クレジット会社などが審査時に参照し、慎重な確認につながると説明しています。ただし、すべての不正利用を防ぐ制度ではありません。

AIの進化を止めることはできなくても、不要な情報を残さず、基本的な不備を修正し、異常を早期に検知するための備えはできます。利便性のために情報を預かる企業こそ、その量に見合う責任を負うべき時代になっています。

文＝中田英明（経済ジャーナリスト）
※本記事は情報提供を目的として作成したものであり、特定の企業、商品、サービス、金融商品、投資その他の取引を推奨または勧誘するものではありません。掲載内容は記事公開時点の公開情報等に基づいており、意見・見解・予測などは執筆者または編集部の判断によるもので、予告なく変更される場合があります。内容の正確性・完全性・最新性を保証するものではなく、最終的な判断はご自身の責任において行ってください。【KIJIKUL編集部】