MENU
「作っただけ」のホームページを、卒業しませんか。
  1. ホーム
  2. お役立ち情報
  3. 保存している情報が、漏えいの範囲に影響する

保存している情報が、漏えいの範囲に影響する

お役立ち情報

2026年9月、カーシェアリングの「タイムズカー」とコンビニの「セイコーマート」で、会員情報をめぐる発表が続きました。どちらも大きな数字が報じられましたが、お店や教室を営む方にとって大事なのは件数ではありません。漏えいの範囲を考えるとき、まず確かめたいのは、そのシステムにどんな情報を残していたかです。2つの事例から、お客様の情報を預かる側が確かめておきたいことを整理します。

目次

保存している情報が、漏えいの範囲に影響する

保存された情報が不正アクセスで持ち出される場合、そのシステムに残していた項目や人数が、被害の範囲に影響します。ただし、フォームへの入力の途中で情報を盗む攻撃もあるため、保存する情報を減らすだけで対策が済むわけではありません。

使い終わった情報を残しておくほど、保存していた情報が持ち出されたときの対象は広がります。これは大企業に限らず、予約フォームや会員名簿を持つ小さなお店でも同じです。

タイムズカーでは、退会した人も対象に入った

タイムズカーは9月28日の第2報で、会員情報の一部が第三者に取得されたことを確認したと公表しました。漏えいしたアカウント数は約660万件です。

対象には、いまの会員だけでなく、退会した人や、入会を申し込んだものの手続きが完了しなかった人も含まれていました。漏えいした項目には、運転免許証の画像などの本人確認書類情報もあります。

なお、項目は対象者によって異なるとされ、誰のどの情報が取得されたかの内訳は公表されていません。

退会後も情報が残っていた理由

タイムズカーのよくある質問では、退会後およそ7年間は情報を保管し、その後に消去すると説明しています。理由は、法令上の取引記録の保管義務です。

【2026年10月3日追記】タイムズモビリティは10月1日に公開した本件のよくある質問で、退会後に保管する理由を項目ごとに説明しました。氏名・住所・生年月日などは税法などに基づき、運転免許の情報と画像は、なりすまし対策や問い合わせ対応のため、いずれも7年間保管するとしています。

残す理由があって残している情報もあります。そのうえで、何を、いつまで持つのかを決めておくことが、万一のときに誰が当事者になるかを左右します。

セイコーマートでは、1件の不正な手続きが発覚のきっかけだった

セイコーマートは9月29日、アプリのサーバーを経由して会員情報を持つサーバーに不正アクセスがあった可能性を公表しました。対象は約57万アカウントで、漏えいが確認された件数ではありません。

【2026年10月3日追記】セイコーマートは9月30日の第三報で、アプリに登録したことがある会員のうち57万2022人分の情報が閲覧されたことを確認したと公表しました。アプリ会員の49％にあたります。不正アクセスの手法については、警察などと連携しているとして、開示を控えています。

発覚のきっかけは、クラブカード（会員カード）の不正な退会処理が1件行われていたことでした。可能性が分かった同じ日のうちに、サーバーへの接続が止められています。

ふだんの手続きで起きた小さな違和感が、最初の合図になることがあります。予約や会員の管理をしている方は、見覚えのないキャンセルや変更に気づける状態にしておくと安心です。

お客様の情報を預かる側が確かめたい4つのこと

情報を減らすことと並んで、入力の途中で盗まれないようにすることも欠かせません。問い合わせフォームや予約システムは、ソフトウェアを更新するだけでは十分ではありません。あとから追加した外部の仕組み（アクセス解析のタグやチャットなど）や、見覚えのない変更がないかも、定期的に確かめてください。

そのうえで、次の4つを見直します。

1. 集めている情報を書き出す

問い合わせフォームや予約システム、会員名簿、紙の申込書のどこに、どんな情報があるかを、一度書き出してみてください。持っているものが分からなければ、守り方も決められません。

2. 使わない項目は、はじめから集めない

フォームの入力項目が、実際の業務で本当に使われているかを見直します。使っていない生年月日や住所の欄は、なくすことを検討してもよいかもしれません。

3. 使い終わった情報は消す

個人情報保護法は、保存期間を一律には決めていません。ただし、利用する必要がなくなった個人データは、遅滞なく消去するよう努めることとされています（法第22条）。

一方で、業種や書類によっては、別の法令で保存期間が決まっているものもあります。消してよいか迷う書類は、税理士などの専門家や所管の窓口に確認してください。

保存期間の決め方と、外部のサービスに預けた情報の消し方は、「個人情報の保存期間、法律に決まりなし｜小規模事業者の決め方と消し方」で詳しくまとめました。

4. 身分証の画像は、確認のあとの扱いを決める

本人確認のために身分証の画像を受け取る場合は、確認後に残すのか、残すならどこに、いつまで置くのかを決めておきます。パスワードは変えられますが、顔写真や生年月日は変えられません。

お客様の立場で気をつけたいこと

漏えいのあとは、本物の氏名や住所が書かれた連絡が届くことがあります。名前が合っていても、公式の連絡とは限りません。

タイムズカーもセイコーマートも、メールでパスワードやカード情報を尋ねることはないとしています。身に覚えのない連絡のリンクや添付ファイルは開かず、公式サイトや相談窓口で確かめてください。

まとめ　まず「何を持っているか」から

大きな漏えいのニュースは、遠い話に聞こえるかもしれません。けれども、お客様の情報を預かっている点は、小さなお店でも同じです。

まずは、集めている情報を書き出すところから始めてみてください。ホームページの問い合わせフォームや予約の仕組みで、どんな情報を受け取っているか。その見直しも、デジタルの窓口でご相談いただけます。ご相談とお見積もりは無料です。

参考

お役立ち情報
よかったらシェアしてね！
  • URLをコピーしました！
  • URLをコピーしました！

この記事を書いた人

山本達也のアバター 山本達也

デジタルとリアルの交差点をつくる

合同会社デジタルの窓口 代表
山本 達也（ヤマタツ）

兵庫県姫路市を拠点に、WebディレクションやAI活用支援をはじめ、多岐にわたって活動しています。IT専門メディアのテックライター・AIナビゲーターとしては、生成AIやエージェンティックAI、サイバーセキュリティ、宇宙開発といった最先端テクノロジー領域を中心に、これまでに累計約4,500本の記事を執筆してきました。

ウェブ解析士やデジタル推進委員としてのデータに基づく専門的な視点を持つ一方で、ハイブリッド型ビジネス交流会「クロストーク」の代表も務めています。オンラインの最先端テクノロジーだけでなく、オフラインの「人と人との繋がり」や地域のコミュニティを大切にし、デジタルとリアルの両面から起業家や企業の皆様に伴走するスタイルを得意としています。

関連記事

コメント

コメントする

目次