[ITmedia エンタープライズ] おわびメール1通で、後は自己責任？　個人情報漏えい時代に欠けた「3つの仕組み」

勉強会はチームみらい党首の安野貴博氏（参議院議員）がモデレーターを務め、超党派の国会議員が参加した。登壇したのは、企業へのペネトレーションテストなどを手掛けるトライコーダの上野宣氏（代表取締役）、半導体やサイバーセキュリティを扱うマクニカの瀬治山豊氏（セキュリティ研究センター センター長補佐）、タイムズカー集団訴訟の代理人を務める牧野法律事務所の牧野裕貴氏（代表弁護士）の3人だ。

個人の努力はとうに限界を超えている

攻撃の量と質がAIで変わったという現状認識が前提として共有された。セキュリティ組織の国際団体FIRSTが2026年6月15日に公開した「The 2026 Vulnerability Forecast Update: Navigating the AI Epoch」（注2）は、AIによる脆弱（ぜいじゃく）性探索の普及を背景に、2026年のCVE登録件数予測を約6万6000件に引き上げた。過去最多だった2025年の約4万8000件（1日当たり約130件）を上回る見通しだ。

上野氏は、攻撃の間口が広がった理由をこう語った。

「今まで日本は日本語という言語の壁に守られていて、怪しい日本語だと見抜くことができた。しかし今はAIに指示すれば、金融機関が出すような緊急性を感じさせる自然な文面を作れてしまう。海外からの攻撃のハードルが極めて下がった」（上野氏）

漏れた後の脅威も様変わりしている。瀬治山氏は、漏えいした宿泊履歴などの具体的な情報を盛り込んだフィッシングメールが既に観測されていると指摘した。住所や電話番号でパスワードをリセットできる機能が悪用されれば、本人確認の基盤そのものが崩れかねないとみる。牧野氏のもとには、「流出した運転免許証の情報でローンを申し込まれた」といったなりすまし被害の相談も寄せられているという。別々の事案で漏れたデータも、AIで突き合わせればなりすましの材料として使えてしまう。情報が漏れてから時間がたてば問題がなくなるわけではなく、悪用の手口はむしろ増えていく。

漏えいしても悪用されない社会にするには

勉強会で示された対策は、次の3つに整理できる。

1つ目と3つ目は、被害を「起こさない」ことではなく「起きても致命傷にしない」ことを狙った提言だ。持っていない情報は漏えいしない。漏えいした情報で本人になりすませないなら、漏えいの実害は小さくなる。2つ目は、その方向へ企業を向かわせる動機付けだ。牧野氏は、1人当たりの賠償額が少額にとどまる漏えい事案では、個別訴訟の費用や手間が賠償を上回り、被害者が泣き寝入りしやすい構造を指摘した。個人情報保護委員会の指導や勧告の件数が少なく、監督のプレッシャーが機能しにくい現状にも触れた。

裏を返せば、現在はこの3つがどれも十分には機能していない。カーシェアも通販も、サービスを使うには氏名や住所、電話番号の登録が事実上避けられない。登録フォームは相変わらず住所や電話番号の入力を求めてくる。いざ漏えいすれば届くのはおわびのメール1通で、あとは「不審な連絡にご注意ください」と個人の注意に委ねられる。

国家サイバー統括室の「サイバー対応特設サイト」（注3）には、個人向けだけでも首相官邸、警察庁、国民生活センター、情報処理推進機構（IPA）と複数の相談窓口が並ぶ。情報が1カ所にまとまったことは前進だろう。一方で、被害者がどこへ行けばよいか一目では分からない現状は、上野氏が勉強会で求めた「相談窓口の一本化」の必要性を図らずも示している。

筆者の携帯電話には今も時々、支払っているはずのガス料金を請求するSMSが来る。無視すればいい話ではある。だが、全員が「無視すれば済む」と我慢し続ける社会と、情報がもし漏れても悪用できない社会のどちらに向かうかは、個人の努力ではなく制度の設計で決まる。漏えいした事実は変わらなくても、漏えいしても困らない仕組みは、これから作れるはずだ。