ここ数日、立て続けに個人情報の漏えいに関するメールが届いています。
10月下旬のわずか8日間で、なんと4社からの通知でした。
新聞関連サービス、画像共有サービス、花の通販サービス、そして後払い決済サービス。
もちろん、それぞれの事案は別のものであり、漏えいした情報の種類も異なります。
ある企業では内部ID、別の企業ではユーザー情報や画像に関するメタデータの一部。また、ログインIDや暗号化されたパスワード、メールアドレス、氏名、住所、電話番号、商品明細などが対象になった事案もありました。
いずれも、各社から届いたメールに記載されていた内容です。
これほど短期間に通知が重なると、さすがに色々と考えさせられます。
たった一度の利用なのに
花の通販サービスも後払い決済サービスも、利用したのはずいぶん昔のことです。それも、たった一度きりだったと思います。
その後何年も利用していないのに、当時登録した個人情報は企業側に残っていました。
ここで、以前から感じていた疑問がまた浮かんできました。
「そもそも、一度買い物をするだけなのに、なぜ会員登録が必要なのだろう？」
もちろん、商品を配送するなら住所や氏名、電話番号などが必要になることは理解できます。
でも、それは商品を届けるために必要な情報であって、何年も会員として登録し続けなければならない理由とは別の話かなと。
”囲い込み”なんて便利な言葉を使って、囲んだ顧客情報の管理ができているのかと。
実店舗で買い物をするとき、レジで毎回住所や電話番号を聞かれることはありません。
商品を買って代金を支払う、それで取引は完了します。
インターネットでの買い物も、必要な情報をその都度入力して購入できれば、それで十分な場合が多いはずです。
数百円の割引と引き換えに
最近は会員登録だけでなく、LINEの友だち登録を勧められることも増えました。
「登録で500円引き」「今すぐ使える1,000円オフ」。それと「クーポン系」。確かに、その場ではお得に感じます。
でも企業にとっては、その後も利用者に情報を届けられる接点が手に入ります。
利用者は目先の割引と引き換えに、企業との継続的なつながりを受け入れることになります。
そもそも、LINEで企業アカウントを友だち追加しただけでは、電話番号や住所などの個人情報が企業側に伝わるわけではありません。メッセージやスタンプを送信して初めてLINEの表示名やアイコンが見えるようになり、実際に本名や住所などの個人情報が渡るのは、フォーム入力やアカウント連携（ID連携）を行ったときです。
仕組みとしては安全に配慮されているとはいえ、私自身、もう何年も前から「LINEの友だち登録」を条件にされるとかなり警戒するようになり、割引や特典があっても諦めることさえあります。
普段LINEをそれほど使っておらず、やり取りするのはごく一部の人だけ。通知の8割方は企業アカウントからのお知らせだったりします。
当然、不要になったものは片端からブロックしていますが、一度友だち登録させたきり一切お知らせが来ないアカウントもたくさんあり、何のために登録させたのか疑問に思うことも少なくありません。
もちろん、納得して登録するなら何の問題もありません。
ただ、「その割引は、本当に自分の個人情報や時間を差し出してまで欲しいものなのか？」
最近は、そんなふうに考えるようになりました。
「不審なリンクを押さないで」と言いながら
もう一つ、以前から疑問に感じていることがあります。企業から届くメールやSMSの案内方法です。
フィッシング詐欺への注意喚起では、よく「不審なメールやSMSのリンクをクリックしないでください」と言われます。
ところが、企業自身が送る案内メールには「詳しくはこちら」「手続きを進める」「ログインする」といったリンクやボタンが並んでいます。
先日、クレジットカード会社から届いた案内にも、SMSを使った本人確認の説明がありました。
不正利用を防ぐための仕組みであることは理解できます。でも利用者からすれば、本物の案内と偽物の案内を見分けなければなりません。
企業は利用者に慎重な行動を求める一方で、メールやSMSのリンクから操作することにも慣れさせてしまっています。
これでは、詐欺を仕掛ける側に都合のよい習慣を作ってしまわないでしょうか。
私は以前から、メールに記載されたリンクは原則として開かず、普段使っているブックマークや公式アプリからアクセスするようにしています。
企業からの案内も、もっとシンプルで良いと思うのです。
「不審な取引を検知しました。普段ご利用の公式アプリからご確認ください」
これで十分ではないでしょうか。
「通知はメールで。確認と操作は公式サイトやアプリで。」
企業自身がこの原則を徹底すれば、利用者も安全な行動を習慣にしやすくなると思います。
使わないアカウントは、どうなるのか
そんなことを考えていたところ、長年利用していなかった宿泊予約サービスからもメールが届いていました。
こちらは情報漏えいではなく、「長期間利用していないアカウントについて、期限までにログインしなければ削除する」という案内でした。
このサービスを利用したのはおそらく10年ほど前。一度利用したきりで今後も予定はないため、今回はログインせずそのまま削除されるのを待つことにしました。
アカウントが削除されても法令等に基づいて一部の情報が残る場合はありますが、長期間使われていないアカウントを自主的に整理する取り組みには大きな意味があると感じます。
企業が個人情報を集めるなら、その情報がいつまで必要なのかも考え、不要になったものは適切に整理してほしいものです。
自分の情報を守るために
今日、花の通販サービスのパスワードを変更し、退会手続きを済ませました。さらに、登録されている個人情報の削除もメールで依頼しました。
何年も利用していなかったサービスなのに、情報漏えいの通知が届いて初めて退会することになりました。もっと早く整理しておけばよかったと痛感しています。
一方で、利用者がすべての登録先を何年も覚えておくことには限界があります。
だからこそ、企業には必要最小限の情報を集め、必要な期間だけ保管し、安全に管理する姿勢を求めたいです。
そして利用する側も、会員登録を求められたときに一度立ち止まって考えてみる。
「この登録は、本当に必要なのか？」
便利さや割引だけで判断せず、自分の個人情報をどこに預けるのかを意識する。今回の立て続けの通知は、そんな当たり前のことを改めて考えるきっかけになりました。
氷山の一角
今回届いた4件の通知も、氷山の一角なのかもしれません。
企業が不正アクセスを把握し通知したからこそ事実を知ることができましたが、通知が届いていないからといって預けた情報がすべて安全だとは限りません。
そもそも、自分の個人情報が今、どれだけの企業に保管されているのでしょうか。
10年前、15年前に一度だけ利用したサービス、登録したことすら忘れているサイト……きっと、まだあるはずです。
「企業は情報を集めたことを覚えている。でも、利用者は情報を預けたことさえ忘れている。」
このギャップは、思っている以上に深刻です。
個人情報は一度流出してしまえば、パスワードのように簡単に変更できるものばかりではありません。
だからこそ、最初から必要以上に渡さないこと。そして、使わなくなったサービスはできるだけ整理しておくこと。
企業任せにせず、自分でもできる対策を続けていきたいと思います。
ただ、それと同時に強く思います。
「利用者が忘れてしまった情報を、企業はいつまで持ち続けるのだろう？」
今回の出来事で、その疑問がますます大きくなりました。
