個人情報が漏えいしたらどうなる？予想される二次被害と詐欺を情報の種類別に解説【特集②】

こんにちは、Heartland-Labです。宅配の不在通知、銀行からのお知らせ、サービスの利用明細。メールやSMSは、毎日たくさん届きます。その中に、ある日、あなたの本名が入った、実在するサービス名の連絡が混ざっていたら。気づける自信はありますか？

今回の漏えいで心配されているのは、まさにそこです。盗まれた情報が、どんな形で使われうるのか。起きていることと、これから起こりそうなことを、分けて見ていきましょう。

■ このページの読み方

【確認済み】は、各社の発表や報道で確認できた事実です。【予想】は、流出した情報の種類から、起こりうることを考えたものです。「予想」は、実際に起きたという意味ではありません。必要以上に怖がる必要はありませんが、備えておくための材料としてお読みください。

【確認済み】すでに起きていること

私たちが確認できた範囲では、今回の漏えい情報を使った詐欺メールやSMSの被害は、まだ報じられていません。一方で、盗まれた情報や、そこから派生した被害が実際に出た例は、次のとおりです。

• アンケートサイト「infoQ」（GMOリサーチ&AI）：611件、合計約287万円分のポイントが、会員の意思と関係なく、Amazonギフトコードに交換されました。最大94万8498件の会員情報が対象で、会社はポイントを全額補填するとしています。発覚のきっかけは、会員からの問い合わせでした。
• skyticket：不正にログインされた会員アカウントが、1件確認されたと発表されています。
• ブックオフ・第一興商：発表の時点では、悪用は確認されていないとされています。

また、情報を漏らした企業自身が、二次被害を警告しています。ソースネクスト、skyticket、infoQの3社とも、漏えいした情報を悪用した、なりすましの連絡が届くおそれがあると、利用者に呼びかけています。

【予想①】詐欺は「バラマキ型」から「個人特定型」へ

当ブログでこれまで扱ってきた詐欺メールの多くは、誰に届いても同じ内容の「バラマキ型」でした。名前や住所が出回ると、攻撃する側は、相手一人ひとりに合わせた内容を作れるようになります。

つまり、「宛名が自分の本名だから本物」とは、言えなくなるおそれがあります。宛名が正しいことは、本物であることの証明にはなりません。

【予想②】流出した情報の種類別に考える、起こりうる悪用

どんな情報が漏れたかによって、狙われ方が変わります。今回の事案で実際に含まれていた情報と、そこから予想される悪用を、種類ごとにまとめました。

※「含まれていた主な事案」は、各社の発表や報道の内容です。情報の有無は利用状況によって異なり、すべての人に全項目が含まれるわけではありません。

💡ここで！ 「不正ログイン（パスワードの使い回しを狙う攻撃）」とは？

どこかのサービスから漏れたメールアドレスとパスワードの組み合わせを、別のサービスに片っ端から入力して、ログインできるものを探す攻撃です。同じパスワードを複数のサービスで使っていると、1つが漏れただけで、ほかのサービスまで開けられてしまいます。

【予想③】複数のサービスから漏れた情報が、つなぎ合わされる

今回の事案では、ソースネクスト、skyticket、infoQ、ブックオフ、タイムズカーなど、少なくとも5つの事案で、氏名・住所・電話番号・生年月日・メールアドレスがそろって含まれています。

同じ人が複数のサービスを使っていれば、それぞれから漏れた情報を、氏名やメールアドレスをもとに突き合わせることができます。そうすると、「この人は旅行に行く」「このお店をよく使う」「勤務先はここ」といった、より詳しい人物像ができあがります。これは予想ですが、情報が多くなるほど、本物そっくりの連絡を作りやすくなるのは確かです。

1つのサービスの通知が届いていなくても、別のサービスから漏れた情報が使われることもあります。「うちは関係ない」と思わないことが大切です。

【予想④】入口はメールだけではない

電話番号や住所が漏れた事案が多いため、連絡の入口は、メールだけとは限りません。実際に、ソースネクストもskyticketも、通知の中で「メール、SMS、電話、郵便物」に注意するよう呼びかけています。infoQも、メール、SMS、電話でのフィッシングに注意するよう求めています。

• SMS：短い文章とリンクだけなので、不自然さに気づきにくい。
• 電話：本名や生年月日を言い当てられると、本物の担当者だと信じやすい。
• 郵便物：住所が分かっていれば、郵送で偽の案内を送ることもできる。

メールだけでなく、SMS・電話・郵便物にも注意が必要です。これは予想というより、漏えいした企業自身が出している警告です。

【予想⑤】本物の通知と偽物を、「形」では見分けられない

Heartland-Lab運営者に実際に届いた通知メールを見比べると、同じ「漏えいのお知らせ」でも、会社によって形がまったく違いました。

• ソースネクスト：本文にパスワード再設定の手順とURLが、複数書かれている。自分で手続きしていないのに再設定のメールが届いたら、URLを開かないよう注意している。
• skyticket：本文にURLはなく、連絡先はメールアドレスのみ。日本語と英語が併記されている。

つまり、「リンクがあれば偽物」「リンクがなければ本物」とは、言い切れません。通知メールの形は会社ごとに違うため、形だけでは本物かどうか判断できません。もし、この通知メールを真似した偽物が届けば、本物と見比べても区別がつかない可能性があります。

では、どうすれば安全に確認できるのか。メールの形ではなく、「自分の行動」を決めておくのが、いちばん確実です。具体的な方法は、次の特集③でまとめます。

💡ここで！ 「ビジネスメール詐欺」とは？

取引先や上司、経営者になりすましたメールで、送金や情報の提供をさせようとする詐欺です。勤務先や役職、部署名が分かっていると、「それらしい相手」を装いやすくなるため、会社の情報が漏れた場合は特に注意が必要です。

今後の見通しと、このページの更新について

漏えいが公表されてから、実際に詐欺の連絡が届き始めるまでの時間は、ケースによって違います。今のところは、「いつ届いてもおかしくない」と考えておくのが現実的です。

今回の漏えい情報を使ったとみられる連絡が実際に届いた場合は、このページに実例として追記することがあります。予想がどこまで当たったのか、外れたのかも、分かった範囲でお伝えします。

本レポートの結論

今回の漏えいでは、氏名・住所・電話番号・生年月日といった、本人を特定できる情報が、複数の事案で広く流出しています。これからは、本名入りで本物そっくりの連絡が、メール・SMS・電話・郵便物で届くおそれがあります。実害はまだ限られていますが、備えは今からできます。身近な人が騙されてからでは手遅れです。このページのURLをコピーして、家族のLINEグループで『これ気をつけて！』と共有してあげてください。