English
米国で25年以上生活するなかで、日本と米国では、個人情報の漏洩やサイバー犯罪に対する捉え方に違いがあると感じてきた。
日本では、情報漏洩そのものが重大な出来事として受け止められる。一方、米国ではIdentity Theft、すなわち個人情報を悪用したなりすましや不正行為が、身近なリスクとして認識されている。
もちろん、情報漏洩を防ぐ努力は不可欠である。しかし、すべての漏洩を防ぐことは難しい。重要なのは、流出した情報がどのように悪用されるのかを理解し、その後の被害に備えることである。
本稿は、米国での実体験をもとに、日本の情報セキュリティと本人確認のあり方を考える全3回のシリーズである。第1回では、情報漏洩後の被害をどのように抑えるかを考える。
情報漏洩は被害の終点ではない
個人情報が漏洩しても、その時点では目に見える金銭被害が発生していない場合がある。
しかし、流出した氏名、住所、電話番号、メールアドレス、生年月日、購入履歴などが組み合わされると、フィッシング、クレジットカードの不正利用、アカウントの乗っ取り、なりすましなどに使われる可能性がある。
情報漏洩は被害の終点ではなく、その後に起きる犯罪の起点になり得る。
米国では、Identity Theftによる被害を報告し、復旧手順を確認するための政府サイト「IdentityTheft.gov」が用意されている。重要なのは、情報が漏れたかどうかだけでなく、漏洩後に何を確認し、どのように被害を限定するかである。
個人情報が詐欺を「もっともらしく」する
詐欺には、不特定多数へ同じメッセージを送るものだけでなく、対象者の情報に合わせて内容を変える、より個別化された手口も増えている。
たとえば、過去に利用した店舗名や購入金額が記載された「不正利用のお知らせ」が届けば、正規のメールだと思い込む可能性がある。以前利用したオンラインショップから、自分の関心に合った商品のクーポンが届けば、リンク先を十分に確認せずクリックするかもしれない。
犯罪に利用されるのは、パスワードやカード番号のような機密情報だけではない。購入先、家族構成、勤務先、関心分野といった断片的な情報も、相手を信用させる材料になる。
米国では、確定申告の時期になると、IRS（米国内国歳入庁）などの公的機関を装った電話やメッセージが増える。日本でも、金融機関、宅配業者、ECサイトなどを装ったフィッシングは珍しくない。
手口は異なっても、共通しているのは、受信者の不安や焦りを利用して、考える時間を与えず行動させようとする点である。
リンクをクリックすることで伝わる情報
不審なメールについて、「リンクをクリックしただけなら被害はない」と考える人もいる。
しかし、リンクに受信者を識別する情報が含まれている場合、クリックによって、そのメールアドレスが現在も利用されていることや、受信者が特定の内容に反応したことが送信者側へ伝わる可能性がある。
また、リンク先が偽のログイン画面であれば、入力した認証情報が盗まれるおそれがある。米連邦取引委員会（FTC）も、メールやSMSに記載されたリンクをそのまま開かず、信頼できるウェブサイトや電話番号から企業へ連絡するよう案内している。
送信者の表示名だけでは、正規のメールかどうか判断できない。表示名は偽装でき、本物によく似たドメインが使われる場合もある。
メールやSMSのリンクから直接ログインするのではなく、公式アプリや自分で保存したブックマークからアクセスするほうが安全である。
個人ができる被害拡大防止策
個人情報の流出を完全に防ぐことは難しい。しかし、一つの漏洩が別のサービスへ波及する可能性を下げることはできる。
基本的な対策は次のとおりである。
- 同じパスワードを複数のサービスで使い回さない
- 信頼できるパスワード管理機能を利用する
- パスキーに対応するサービスでは、パスキーを積極的に利用する
- 多要素認証を有効にする
- メールやSMSのリンクから直接ログインしない
- クレジットカードや銀行口座の履歴を定期的に確認する
- OS、ブラウザー、アプリを最新の状態に保つ
- 不正利用を発見した場合の連絡先と手続きを確認しておく
重要なのは、「情報を絶対に漏らさない」ことだけではない。一つのサービスから認証情報が漏れても、ほかのアカウントまで乗っ取られない状態を作ることである。
クレジットカード不正利用から見える復旧の重要性
筆者自身、この20年ほどの間にクレジットカードの不正利用を10回以上経験した。
その結果、日頃から利用履歴を確認し、不審な取引があればすぐにカード会社へ連絡する習慣が身についた。カード会社の調査で不正利用と認められれば、各社の条件と手続きに従って請求が取り消され、必要に応じてカードが再発行される。
不正利用そのものは望ましいことではない。しかし、検知、本人確認、カード停止、再発行までの手順が明確であれば、金銭的被害と利用者の負担を抑えることができる。
ここには、セキュリティを「事故を起こさないための技術」だけでなく、事故が起きた後に通常の状態へ戻すための顧客体験として捉える視点がある。
リモートサポートを装う詐欺
米国では、大手IT企業のサポートを装い、「コンピューターがウイルスに感染している」と電話で告げる詐欺も発生している。
筆者にも同様の電話がかかってきたことがある。オペレーターはWindowsの管理画面を開かせ、通常でも表示される警告を感染の証拠であるかのように説明した。その後、リモート操作ソフトをインストールさせようとした。
遠隔操作を許可すれば、画面上の情報を閲覧されたり、設定を変更されたりする可能性がある。さらに、修理費やサポート契約などの名目で金銭を要求される場合もある。
この手口を成立させているのは、高度な技術だけではない。利用者の不安を高め、相手の指示に従わせる心理的な誘導である。
「今すぐ対応しなければならない」と迫られたときほど、いったん操作を止め、公式の窓口から事実を確認する必要がある。
企業に求められるのは漏洩後まで含めた対応
企業にとって、情報漏洩はセキュリティ部門だけの問題ではない。信用、顧客離れ、ブランド価値、業績にも関わる経営課題である。
漏洩が発生した場合、企業は事実を通知するだけでなく、利用者が次に何をすべきかを具体的に示す必要がある。
- どの情報が流出した可能性があるのか
- その情報がどのように悪用され得るのか
- パスワードやカードの変更が必要か
- 不審な取引を発見した場合、どこへ連絡すべきか
- 企業としてどのような監視と再発防止策を実施するのか
注意喚起によって不安を高めるだけでは、利用者を守ることにはならない。被害発生後の確認方法と対応手順まで分かりやすく示すことが、企業への信頼回復にもつながる。
「漏らさない」から「被害を広げない」へ
セキュリティ対策では予防が第一である。しかし、インシデントが起きないことだけを前提にした仕組みでは不十分である。
個人には、情報が流出しても被害を広げないための備えが必要になる。企業には、漏洩を防ぐ対策に加え、発生後の検知、通知、復旧、顧客支援まで含めた設計が求められる。
情報を「漏らさない」だけでなく、万一漏洩した場合にも被害を広げず、できるだけ早く通常の状態へ戻す。そこまでを含めて考えることが、これからの情報セキュリティには必要である。
藤本真也｜Silicon Valley Japan Lab Founder / Chief Strategist
米国在住25年以上。エンジニアと経営者の経験をもとに、シリコンバレーの技術動向を日本企業の経営や事業開発にどう生かすかという視点から発信している。