タイムズカーの個人情報漏洩に対し、被害を受けた会員は集団訴訟に向けて動き始めている
10月15日、バーガーキングは公式アプリの会員情報約1118万件が漏洩したと発表した
連日のように企業の情報漏洩が報じられている。これはもう一過性のものではなく、中長期的に続く問題となるはず。そうであれば、取りあえず個人情報を集めまくっていた企業の行動も変わりそうだ。その先には......日本からデータがどんどん消えていく!?
＊ ＊ ＊
カフェ、アパレル店、カラオケなど、あらゆる所で「公式アプリの会員登録」を勧められる時代になった。おトクなセール情報やクーポンが届くからと、メールアドレスや生年月日を登録した結果、年に数回しか利用しない店のアプリがスマホにあふれていた、という人も多いだろう。
しかし、そのアプリが今や個人情報流出の原因のひとつになっている。ITジャーナリストの三上 洋氏が解説する。
「10月13日に情報通信研究機構が明らかにした『A2B攻撃』はAndroidアプリを解析し、その情報を悪用して接続先の企業サーバーを攻撃する手法。相次ぐ情報漏洩事案の原因のひとつと発表されました」
この攻撃の警戒すべき点は、スマホアプリを提供する企業であれば、どこでもターゲットになりうることだ。
「だから、日本中の企業が対策を急いでいる最中だと思います。しかし、情報セキュリティに長けた大企業はともかく、中規模のチェーン店なども公式アプリを活用している現状、すべての企業が即対策できるのかは未知数です」
今回はAndroidアプリから攻撃されたケースがほとんど。防御力に定評のあるiOSを搭載したiPhoneへの回帰が起こるかも？
そもそも、あらゆる業種の企業が個人情報を集めまくるようになったのはどうして？
「日本では2010年代から『ビッグデータ活用』の名の下に、顧客データの獲得と分析がマーケティングのトレンドになりました。顧客データに基づいたおトク情報を配信することで利用頻度を底上げしてきたわけです。その結果、『顧客データは企業の資産』という認識が広まり、個人情報の収集が熱心に行なわれるようになりました」
一方、海外に目を向けると状況はまったく異なる。
「欧州では『GDPR（一般データ保護規則）』が施行され、アメリカでもカリフォルニアなど一部の州でプライバシー保護ルールの厳格化が進みました。
『ユーザーに提示した目的外の使用禁止』や『使用後の速やかな削除』などが義務づけられた結果、10年代後半から海外では企業が保持する個人情報を必要最低限に抑える『データ最小化』が重要項目になりました」
しかし、日本企業は欧米と比較して「とにかくデータを集めればいい」という発想から切り替わっていなかった。
「日本では個人情報収集のメリットばかりがうたわれ、リスクへの認識が甘かったと言わざるをえません。実際、タイムズカーやブックオフの事案では、退会した会員のデータまで保持していたことで被害が拡大しています。確かにデータは資産ですが、同時にリスクでもあるという認識の薄さが、この前代未聞の漏洩事案につながったのです」
NTT西日本は約928万人の顧客情報を流出させた。2024年、同社は問題の経緯を説明する会見を開き、当時の森林正彰社長（中央）は引責辞任した
では、企業の個人情報収集を巡る状況は、これからどう変わっていくのか。経済評論家の鈴木貴博氏が、次のように予測してくれた。
「これまで日本企業には、どこかで役に立つからと、いらない情報まで抱え込む風潮がありました。しかし今回の騒動をきっかけに、企業のマーケティング手法も変わっていくでしょう。
これまでなら休眠会員のリストにクーポンやプレゼント企画の告知を送って数％の客を呼び戻すといった手法がとられていました。しかし今後は『休眠会員のリストは消してもいいんじゃないか』という話になっていくはずです」
したがって、「取りあえず入れておけばおトクですよ」とうたう公式アプリはリスク要因と見なされ、徐々に衰退していく可能性が高いという。
「すでにネット広告の世界では、ユーザーの閲覧履歴や購入履歴を勝手に参照することへの規制が厳しくなり、個人の行動履歴を追跡する『行動ターゲティング』から、今見聞きしているコンテンツに関連した広告を出す『文脈ターゲティング』にトレンドが移っています。
個人のプライバシーを追跡しなくても効率的にマーケティングを行なう手段がリアル店舗などにも広がっていくと考えられます」
ただ、ここでひとつのジレンマが生じる。
「ビッグデータ活用それ自体は間違いなく経営に役立ちます。特にAIが発達した現在は、分析対象のデータが豊かであるほど高度で効果的なマーケティング戦略を立てられるようになりました。だから経営者の本音としては、個人情報の収集・活用は諦めたくない。しかし、漏洩リスクは日に日に高まっている。では、どうするか」
そこでは「ふた通りのシナリオが可能性として考えられます」と鈴木氏は続ける。
「ひとつ目は、自社での情報管理に見切りをつけ、セキュリティが強固な大手プラットフォームに個人情報の管理を丸投げする道です。具体的には会員登録の際のログイン情報はアップルやグーグルのアカウントにひもづけ、決済情報もそれらのプラットフォームの管理に依存するわけです」
例えば、飲食店やアパレル店であれば、会員登録もポイント発行もすべて公式LINEで処理するなど、個人情報管理の責任をプラットフォーム側に転嫁する仕組みに変更してしまうということ。
「結局、日本の中堅企業レベルのセキュリティ対策では、世界中の強力な攻撃者には勝てません。ならばGAFAMなどのプラットフォーマーにデータ収集・管理を移行する。日本のデジタル赤字は増しますが、これが一番シンプルで、最もありそうな解決策でしょう」
今後は米国の巨大プラットフォーマー群であるGAFAMに個人情報が集中するかもしれない
かくして個人情報の管理コストは増大し、米国の巨大企業に利益が集中していく。プラットフォームの庇護を受けられるのは大きなメリットだが、気づけば日本企業が個人情報の収集から得られる利益が目減りする一方の、いわば〝データ砂漠〟のような近未来が待ち受けているかもしれない。
そして、もうひとつは「バッドエンドに近いシナリオ」だと鈴木氏は言う。
「それは、個人情報はこれまでどおり集め続け、漏れても謝るだけで乗り切ってしまうことが常態化する未来です」
これまで企業が顧客情報の漏洩を起こした場合、対象者にはQUOカードなど〝おわびの品〟を用意することが通例だった。
「過去に17万件の顧客情報流出事案を起こした損保ジャパンのウェブサイトには、情報漏洩のリスクを解説した記事が掲載されており、『1件あたり数千円～1万円程度の支払いが認められるケースが多い』と述べられています。しかし、それは同レベルの流出が年に数社だったからできたことでした」
今回のように大量の流出が相次ぐと、もはや情報管理がだらしない一部企業ではなく、日本企業全体へと責任の所在がすり替わってしまうのだ。
「実際、最初に大きな騒動になったタイムズカーは世間から激しく批判されましたが、その後に他企業の流出が次々と明らかになると、個別企業を批判する声は小さくなっていきました。つまり、情報漏洩の規模に反比例するように、企業に対するペナルティは軽くなっているのです」
こうした世間の空気の変化を悪い方向に企業が利用した場合、企業は一応のセキュリティ見直しこそすれ、経営に深刻なダメージがないならばデータ最小化のような抜本的対策までは行なわない。
今後も情報を集め続け、漏れたら謝る。「それが企業の最も合理的で、コストもかからない最適解になってしまうかもしれない」と鈴木氏は危惧する。
しかし、そんな対応をされたら消費者は怒るのでは？
「消費者も流出に慣れてしまう気がしています。すでに街の声としては、『これだけの流出が起こったのはAIのせいなんでしょ。怖い時代になったよね』と、まるで一連の事案が天災のようにとらえられています。連日の報道で消費者側もまひして危機感が薄れ、やがて企業を批判する声すら上がらなくなる可能性は十分あります」
しかし、流出した個人情報を悪用した犯罪は年々増え続けている。私たちはどうすればいいのか。前出の三上氏は、こう警鐘を鳴らす。
「消費者が圧力をかけなければ、企業の方針はなかなか変わりません。『たまに焼き肉を食べに来るだけなのに本名やメルアドの登録って必要？』と感じたら、その店には行かない。逆に個人情報をむやみに集めない企業を応援する。そういう姿勢が重要です。
それに『そもそも情報を提供しない』ことは、個人情報流出に対する最大の防御でもあります。結局のところ、自分の身を守れるのは自分しかいないのです」
個人情報の管理や防御は海外企業に丸投げされ、日本の消費者は自己防衛するしかない。そんな悲惨な未来が到来しないことを祈るばかりだ。
