[ITmedia ビジネスオンライン] 企業のアプリで進む、個人情報を「あえて持たない」選択 「ゆで太郎」「ウェンディーズ」はどう対策？

経済・テクノロジー・不動産分野のライター。企業分析や都市開発の記事を執筆する。取得した資格は簿記、ファイナンシャルプランナー。趣味は経済関係の本や決算書を読むこと。　X：@shin_yamaguchi_

　ここ数カ月、大手企業による顧客情報の流出が相次いでいる。9月25日に第1報を発表したカーシェアリングサービス「タイムズカー」を運営するパーク24（東京都品川区）を皮切りに、「焼肉きんぐ」を運営する物語コーポレーション（愛知県豊橋市）や「バーガーキング」を展開するビーケー・ジャパン（東京都千代田区）も、それぞれ1000万件超の漏えいを公表した。

　10月21日にはGMOインターネットグループがVPS（仮想専用サーバ）サービスでの不正アクセスを報告。「無印良品」を展開する良品計画も、公式アプリ「MUJI アプリ」を通じた最大2700万件超の情報漏えいの可能性があると明らかにした。

　現時点で攻撃経路の詳細は明らかになっていないが、AIにより脆弱（ぜいじゃく）性の発見が高速化した可能性が指摘されている。むろん、企業側のセキュリティ対策が不十分なことも背景にある。

　だが、そもそも企業が過剰に個人情報を保有していなければ、不正アクセスを受けても二次被害を防げるかもしれない。サイバー攻撃が相次ぐ昨今、あえて情報を持たない企業も広がっている。

大手企業を襲うサイバー攻撃　1000万件超の情報流出やクレカ番号流出も

　BtoC企業による個人情報の漏えいは今に始まったことではないが、9月以降、大手企業の被害が相次いでいる。

　パーク24は9月25日、外部からの不正アクセスで、タイムズカー会員の個人情報が外部に漏えいした可能性があると公表した。その後、複数回にわたって続報を発表。これまでに約663万件の情報について「外部送信された痕跡が確認された」としている。氏名や住所、メールアドレスの他、運転免許情報が流出した。そのうち暗号化された「本人確認書類の画像」146万件超が流出した。

タイムズカーWebシステムからの漏えい状況（出所：パーク24リリース、第5報）

　物語コーポレーションは10月5日、「焼肉きんぐ」公式アプリの会員管理システムが不正アクセスを受けたと公表した。公式アプリのユーザー登録約1081万件のうち、約1079万件が漏えいした。流出したのは会員番号や氏名、メールアドレス、電話番号。アプリに登録したログインパスワードや生年月日などは漏えいしていない。

　同社は再発防止策として、公式アプリの仕様を見直し、氏名や電話番号の個人情報を保持しない新システムに変更する方針だ。2027年上半期の変更を予定している。

　楽天グループは10月26日、旅行予約サービス「楽天トラベル」で不正アクセスがあったと発表した。シンガポール子会社Rakuten Travel Xchangeが運営する一部ページを通じて、最大約260万件の氏名、メールアドレス、電話番号などが不正アクセスの対象になった。楽天トラベルの多言語予約サイトでは、最大約86万件の顧客のメールアドレスが流出した可能性がある。

　無印良品は10月30日の第1報で「MUJI アプリ」における情報流出の可能性を明らかにした。11月4日の第2報ではアプリだけでなく無印良品ネットストア利用者の情報も含まれるとし、メールアドレスや生年月日、性別など最大2726万件が流出した可能性があるとした。そのうち約109万件では、クレジットカード番号全桁も漏えいした可能性がある。