パスワードは変えられても、免許証は変えられない——タイムズカー不正アクセスで会員が今日やること

対象はタイムズカーの会員と退会済みの人（入会を申し込んで手続きが完了していない人を含む）、タイムズビジネスサービスの会員と退会済みの人です。昔使っていただけの人、免許証の画像を送ったものの登録を最後まで進めなかった人も含まれます。同社は対象者に順次、個別に案内するとしています。案内を待つ間も、以下の手順は対象の可能性がある人なら先に進めて構いません。

流出したのは氏名・住所・生年月日・電話番号・メールアドレスがそろった情報です。これだけそろうと、本物らしく見える連絡が作れます。「お詫びの返金手続き」「本人確認のため免許証を再提出してください」「クレジットカードの再登録」といった名目の連絡が来ても、本文のリンクは開かず、必要なら自分で公式アプリか公式サイトを開いて確認してください。同社も、同社を装った連絡でパスワード・認証コード・カード情報を入力しないよう呼びかけています（見分け方は フィッシングとは）。

本人確認書類の紛失・盗難・漏えいなどで名義を悪用されるおそれがあるときに使える制度です。登録すると、ローンやクレジットカードの審査で加盟会社がその情報を見て、より慎重に審査します。国内の信用情報機関はCIC、JICC、全国銀行個人信用情報センターの3つで、加盟している会社が異なるため、3つとも登録するのが確実です。インターネットか郵送で申し込めます（手数料や方法は機関ごとに異なります。末尾の出典を参照）。

本人申告は審査を止めるものではなく、慎重にしてもらうものです。なので、実際に自分の名義で何か作られていないかを確かめる手段も持っておきます。各信用情報機関では自分の信用情報を開示できます。今すぐ1回と、数か月後にもう1回見て、申し込んだ覚えのないカードやローンがないかを確認してください。身に覚えのない契約や督促状、見知らぬ事業者からの郵便物が届いたら、その事業者と最寄りの警察署に相談します。

個人情報保護法は、漏えい等の報告対象になる事態が起きたときや、事業者がその個人データを利用する必要がなくなったとき、本人が利用停止や消去を請求できると定めています（第35条第5項）。退会済みの人、申し込みだけで終わった人、今後使う予定のない人は、公式サイトの問い合わせフォームから、免許証画像を含む自分のデータの消去を求められます。法令で保存が求められる記録などは残る場合がありますが、何が残り、いつ消えるのかを回答として受け取るだけでも意味があります。

同社は、パスワードは復元できない形式で保管しており、流出した情報でアカウントが不正に使われる恐れはないとしています。そのためタイムズカー側の変更は求められていません。ただし、同じパスワードを他のサービスでも使っているなら、この機会に分けておきます。棚卸しは パスワードマネージャー に任せるのが現実解です。

法人会員は所属部署名も流出項目に含まれます。氏名・部署・メールアドレスがそろうと、取引先や社内の人物を装ったメールが作りやすくなります。「請求先口座が変わった」「至急この書類を確認して」といったメールは、メール以外の手段（電話など）で送り主に確かめるルールを、今のうちに周知しておきます（自社ドメインの守り方は なりすましメール対策（SPF・DKIM・DMARC））。

審査が終わったあとに業務で必要なのは、多くの場合「いつ・どの書類で・誰が確認したか」と免許の有効期限です。画像そのものを持ち続ける理由が法令や監査の要件にあるのか、それとも「消す仕組みを作っていないだけ」なのかを、項目ごとに分けて確認します。

個人情報保護法は、利用する必要がなくなった個人データは遅滞なく消去するよう努めることを求めています（第22条。努力義務）。そして漏えいが起きれば、本人は消去を請求できます（第35条第5項）。退会した人、手続きを途中でやめた人の書類画像は、業務で使われないのに漏えい時の対象には入るデータです。法令で求められる保存期間があるならその期間を、なければ短い期限を決め、期限が来たら自動で消えるようにします。手作業の削除は続きません。

会員登録や予約を受けるWebのシステムと、本人確認書類の画像の保管場所が同じ権限で読める状態だと、Web側が破られたときに画像までまとめて持ち出されます。画像は別の保管場所・別の鍵に置き、Web側からは「確認済み」という結果だけが見える構成にするのが基本です。考え方は 組織のセキュリティ対策、最低限はどこか と 認証と認可の違い で扱っています。