免許証のコピーは必要だったのか？ タイムズカー問題と本人確認の未来

情報漏えいとして大きな話題となったタイムズカー問題。運転免許証(を含む本人確認書類)画像が当初約660万件漏えいしたとして発表された(その後「本人確認書類約146万件」と修正)。

そして、こうした大規模な情報漏えいが急激に増えている。1,000万件を超える情報が漏えいした焼肉きんぐ、スカイチケット、ソースネクスト、バーガーキングを始め、数十万件、数百万件といった情報漏えいが、この1～2カ月で集中して発表されている。

こうした異常事態に、国も緊急の声明を発表。10月8日には内閣官房国家サイバー統括室が、全府省庁などを集めた緊急会議を開催して情報集約を要請。翌10月9日には注意喚起を公表。各府省庁も、所管する業界に向けた注意喚起などを行なっており、対応強化を進めている。10月30日には、国家サイバー統括室が「サイバー対応特設サイト」を開設して情報の一元化を図っている。

10月9日以降も、不正アクセスによって2,000万件以上が漏えいしたソースネクストのような例もあり、被害が収まる気配がない。それ以外にもメドレーの医療情報、画像共有サービス「Gyazo」における画像の漏えい、日本航空(JAL)と全日本空輸(ANA)が使う旅客サービスシステムのAmadeusからパスポート番号を含む旅客情報といった、さまざまな範囲の情報が不正アクセスによって漏えいしているのが現状だ。

10月17日に発表されたJoshinの情報漏えいでは、最大約600万件の漏えいの可能性があり、そのうち免許証画像2件、マイナンバーカード1件の漏えいの可能性があったという。数は少ないものの、本人確認書類の画像を残していた問題がここでも起きていた。

今回の論点はセキュリティ対策そのものではなく、「個人情報の扱いに問題がなかったか」という点だ。「その免許証画像は必要ですか？」という点について考えたい。

なお、今回はあえて個人情報が漏えいした場合にどうすべきか、という点には触れていない。政府は個人情報漏えい時の相談窓口をまとめており、必要に応じて参考にするといいだろう。

免許証のコピーは適切か？

タイムズカーは、タイムズモビリティが運営するカーシェアリングサービスだ。法規制上は道路運送法に規定されるレンタカーと同じ位置づけとなる。そして、レンタカーは、道路運送法に基づいて車を借りる人の情報を取得することが義務付けられている。

今回は、そこで収集された情報が漏えいした。タイムズカーでは、会員登録で免許証の画像を送信するなどして本人確認を行なっており、それがそのまま画像データとして保管されていた。タイムズ側の説明によると、本人確認に加えて、不正利用が疑われる事案や問い合わせへの対応、そして各種本人確認業務に利用することを目的としていた、という。保存していたのは会員期間中だけでなく、退会後7年間も保持していた。

タイムズカーから漏えいした本人確認書類の画像の数。外部送信の形跡がないものもあわせると200万件以上。暗号化されているため、解読されなければ悪用されないかもしれないが、解読される可能性はもちろんある。なお、タイムズカーは今回の不正アクセスを受け、10月16日に本人確認書類の画像保有ルールの見直しを発表。会員登録の確認完了後に画像を即時削除する方針

今回の問題は、このデータが不正アクセスによって漏えいしたというものだが、サービス退会者のデータが残っていた点に批判の声もあった。これに対して同社では、法の定めにより7年間の保管をしているとの回答をしている。ただし、レンタカー業としてのユーザー情報の保管期間は「少なくとも2年間以上」とされており、7年間だと法人の帳簿関連の保管期間が当てはまる。

ただ、その用途で運転免許証画像を保管する必要はない。そもそも、レンタカー業者が免許証のコピーを保管するという法の定め自体がない。シェアカーを含むレンタカー事業者に対しては、所管の国土交通省が「貸渡人を自動車の使用者として行なう自家用自動車の貸渡し(レンタカー)の取扱いについて」という通達を出しており、これに従うことが求められている。

ここで記載事項として「借受人の氏名・住所」と「運転者の氏名、住所、運転免許の種類・運転免許証の番号」を記録することが定められている。逆に言えば、これ以上の情報の取得は求められていないわけだ。

タイムズカーから漏えいした個人情報。厳密に言えば、生年月日と電話番号、メールアドレスは事業者が収集必須の情報ではない。運転免許情報についても種類と番号のみで足りる

現実的にはほとんどのレンタカー事業者は、対面では免許証のコピーを取得していると考えられるが、このコピー自体が通達には含まれていないので、不必要な作業をしていることになる。

恐らくもともとは、手書きで記載事項を転記する手間を省くといった意味合いがあったのだろう。前述の国交省による通達では、1995年の段階で「運転者の氏名、住所、運転免許の種類及び運転免許証の番号(運転免許証の写しの添付により代えることができる。)」と表記され、括弧書きで写し(コピー)の添付で記録を代替できることが示されていた。

ところが現在の通達では括弧書きがなくなっており、現在ではコピーでの代替は想定されていない。国交省によれば、これは「1995年当時は個人情報に対する認識が現在と異なっていたのでコピーでも良かったが、時代にあわせて修正した」という。

免許証のコピーは、不要な個人情報までを収集することになるため、個人情報保護法の観点から記述を省いた、というのが国交省の立場だ。そのため、本来であればレンタカー事業者側はコピーを取るのではなく、必要な情報だけ転記をする形が通達では想定されているということになる。コピー自体を明確に禁じているわけではないが、その場合は個人情報保護の観点から不要な情報はマスキングして保管することを国交省では推奨している。

また、個人情報保護法では、不要になった個人データは速やかに削除することを求めており、タイムズは通達による2年間の保存期間を過ぎた免許証情報は、本来削除しておくべきであった。必要があって保管するにしても、免許証画像の不要な部分をマスキングしておく必要があった。

ちなみに国交省は、今回の問題を受けてレンタカーの業界団体に対してデータの取り扱いに関して総点検を要請しているという。

運転免許証画像の漏えいで何が起きるか

運転免許証をはじめとする本人確認書類が漏えいしたことによる問題は何か。

免許証の場合、住所や氏名、生年月日という個人情報や免許証番号、そして顔写真が券面にある主な情報だ。今回のタイムズカーの場合、住所と氏名、免許証番号はもともとデータとして記録が義務付けられており、こうしたデータも同時に漏えいしているため、免許証画像から新たに漏えいした情報としては顔写真が最も大きいだろう。

前述の通り、タイムズカーからの漏えいでは画像は暗号化されていたというので、悪用はそれが解除されている場合、という注釈がつく。

ここでまず問題となるのは、免許証画像そのものを悪用する不正だ。例えばマッチングアプリ、フリマアプリなど、「免許証画像を送って信用させる」といった使い方や、「闇バイトの応募で求められたので他人の免許証画像を送った」といったものも考えられそうだ。年齢確認のために免許証画像をアップロードする、といったサービスでも悪用はありえるだろう。

ただし、ここは「本物の免許証画像である必要があるのか」という問題もある。昨今だと、生成AIで精巧な免許証画像を作ることはできるだろうし、特にAIを使わなくても単なる画像データの偽造自体は容易ではある。とはいえ、今回の件で免許証画像を悪用された場合に、身に覚えのない犯罪に関わったと疑われるような不利益が生じる可能性はあるかもしれない。

免許証画像をそのまま悪用して、クレジットカードや銀行口座、携帯電話などで不正な契約をするというのは少し難しい。クレジットカード・銀行口座だと犯罪収益移転防止法、携帯電話だと携帯電話不正利用防止法によって本人確認が定められており、特に携帯電話は2026年4月1日からオンラインでの契約には原則ICチップの確認が必要になっており、免許証画像だけで契約するのは難しい。

犯収法は2027年4月1日に施行規則が改正施行されて同様に原則ICチップ確認となる。それまでの間、既存の本人確認が利用できるが、金融庁は今回の件を受けて不自然な画像の確認の徹底に加え、ICチップ確認について、改正犯収法施行を前に「可及的速やかな対応を図ること」との要請をしている。実際、メガバンクを始め複数の銀行などがオンライン本人確認でのICチップ確認への移行を前倒ししている。

既存の手法だと、例えば免許証のコピーを送付するという場合、本人確認書類2点もしくは1点＋補完書類というパターン(犯収法のリ方式)で、2種類の書類が必要となる(その上で住居に転送不要郵便などを送る)。この方式の場合、免許証画像をそのまま印刷して送付することで契約しようという攻撃は起こりえる(成否は問わない)。

本人確認書類の写しを送付するリ方式。これであれば、漏えいした免許証画像を印刷して送付するというやり方はありえる

オンラインでの契約だと、本人確認書類の原本を撮影して、さらに自撮り撮影をして本人確認をするeKYCというパターンも多い。eKYCツールでは、画像そのものの読み込みはできず、リアルタイムの撮影が求められる。漏えいした免許証画像を使うにしても、物理的な偽造免許証に貼り付けるなどして突破を試みようとする攻撃になるだろう。

加えて自撮りも必要なので、免許証の顔写真を差し替えて犯人自身が顔出しするか、ディープフェイクで偽造してeKYCツールの突破を目指すといった手段が必要になる。ただ、それならわざわざ本物の免許証画像を使わず、AIで偽造すればいいという話ではある。

いわゆるホ方式。物理的な偽造免許証を使う

どちらのやり方でも突破の可能性はゼロではないが、かといって誰でも本物の免許証画像があれば簡単に突破できるという話でもないため、これによってクレジットカードやローンの不正契約が急増するかどうかは未知数。そもそもこれまでも偽造免許証などによる不正契約は発生していたし、AIによる偽造であれば本物の免許証画像がなくても、テキストデータの漏えいだけで偽造自体はできてしまう。

仮に本物の免許証画像を使って本人確認を突破して契約ができたとして、例えばクレジットカード契約であればカードの送付先住所を、免許証表記から書き換える偽造が必要となる。そのままだと本人の自宅にカードが届いてしまい、不正契約に気付かれる可能性があるからだ。もしくは、契約後即使えるデジタルカードを悪用し、カードが届く前に不正利用するという攻撃もありえる。

仮に物理的に免許証を偽造する場合に、免許証画像が本物である必要があるか。なりすましでは自分の顔写真を貼り付けた架空の免許証を作るのだが、免許証番号を一般人は照合できないので、その免許証が本物かどうかを調べる方法は、ICチップ確認を除けば「見た目や感触などが本物に見えるかどうか」「目の前の人が顔写真と同一人物か」という点になるので、記載された情報が本物かどうかはあまり関係がない。住所や氏名などの情報だけは実在のものの方が怪しまれにくいが、免許証番号は何でもいい。

要は、「免許証画像さえ漏れなければ悪用されない」わけではないし、「免許証画像が漏れたらあらゆる本人確認が突破されて悪用され放題になる」わけでもない。免許証画像をそのまま使って提出しただけで契約できてしまうようなサービスは、そもそも本人確認が脆弱であり、タイムズカー並みに問題があるといえる。

免許証などの本人確認書類の画像提出を求めるサービスは、それが本当に必要なのかを検討する必要がある。タイムズカーは本人確認としているが、それであるならばICチップを使う手法が最も安全性が高い。現代的な手法であれば、スマートフォンのマイナンバーカードを使うこともできるだろう。

少なくとも運転免許証のICチップは、タイムズカーに登録する個人であれば全員が保有しているはずだ。免許証の場合、ICチップから情報を読み出す2つの暗証番号が必要で、暗証番号1は免許証情報が読み出せ、暗証番号2では本籍と顔写真が読み出せる。レンタカー契約だけなら暗証番号1だけでもいいが、ICチップ内の顔写真と自撮り写真を照合するという場合には、2つ目の暗証番号も必要となり、覚えていない人なども多くいそうだ。

ただこれを使うことで、偽造・なりすまし対策は大幅に強化されるし、今後の主流になるので、自衛のために警察署などで暗証番号確認をしておくのもいいだろう。

ICチップ確認の場合、不要な情報は本人確認時に使うだけで後は破棄してもいい。外部のeKYCサービスを使えばあえて保持する必要もなくなる。マイナンバーカードであれば券面記載の情報を使ってICチップの読み取りができるので、忘れることはない。スマートフォンのマイナンバーカードを使って6～16けたのパスワードを使うやり方もある。

こうした方法を使えば、運転免許証の画像を保管する理由もなく、存在しない画像は漏えいしないので安全性が高まる。しかもさらに厳密な本人確認ができる。「余分な情報を取得しない」というのは、ユーザー保護だけでなく、事業者側にとってもメリットがあるのだ。

マイナンバーカードを使ったJPKIによる本人確認。ワ方式は以前の表現で、現在はカ方式、2027年4月1日からはヲ方式となる(犯収法の場合)

一昔前は、クレジットカードの情報をユーザーの利便性のためにすべてサーバーに保管していたら、不正アクセスで大量に流出して不正利用が頻発した。その反省から、事業者はクレジットカード情報のすべてを取得せずに専門の決済サービスを経由することで対処するようになった。

今回の不正アクセスによる情報漏えいでも、多くの場合、クレジットカードについてはセキュリティコードなどすべての情報は漏えいしていない。その点での被害の拡大は防げている(はずだ)。

これとは別に、昨今のECサイトでは支払い時に使われるペイメントアプリケーションの脆弱性を狙った攻撃で、購入者が入力したカード番号やセキュリティコードなどのデータをその場でそのまま盗む攻撃が頻発している。この攻撃の場合、サイト自体は保存していないが、購入者自身が入力して送信したデータがそのまま抜き取られてしまうので、セキュリティコードを含めて盗まれてしまう。そのため、今回の論点である「余計な個人情報を収集しない」という話には当てはまらない。

いずれにしても、今回の大規模な不正アクセスは、事業者の大小を問わず攻撃が行なわれ、従来と同じ考えでは防御が難しいことを明らかにしたといっていいだろう。その中で、必要でない情報を収集するデメリットが大きくクローズアップされている。

これまでのやり方を変えることを避け続けた結果、不正アクセスによって多額の損害を出した証券業界も、パスキーをはじめとしたセキュリティ強化に舵を切った。それと同様に、携帯電話、金融機関の本人確認でICチップ確認が進展することで、「暗証番号を覚えていない」という声は減り、ICチップ確認が一般的になる可能性もある。

今回の一連の不正アクセスによって様々な論点が浮き彫りになっている。今後、不必要な個人情報の収集・保管・長期保存は避ける方向に行くべきだろう。

そもそも個人情報保護法でも避けるよう求められている。スマートフォンのマイナンバーカードによって、「年齢だけ」「住所だけ」といった限られた情報だけを取得することもできるようにもなった。預けたデータのコントロールも含めて、日本でも今一度個人情報の取り扱いについて広く検討していく必要がある。