レンタカーチェーン「ニコニコレンタカー」を展開するレンタスは10月27日、公式アプリ「ニコパス」で提供していた運転免許証画像の事前登録機能を廃止すると発表した。保存済みの免許証画像データは全て削除したという。
事案の詳細
レンタスは、公式アプリ「ニコパス」で提供していた運転免許証画像の事前登録機能を廃止した。今後は「ニコパス」から予約した場合も、レンタカーの利用当日に店舗受付で運転免許証を提示し、スタッフの確認を受ける必要がある。
同社は、昨今の社会的なサイバー攻撃の増加を踏まえ、個人情報の保護をより一層強化するためと説明している。これまで利用者から預かっていた免許証画像データは、全て削除したとしている。
また、必要なセキュリティ対策は講じており、10月27日時点で個人情報の漏えいなどは確認していないという。旧バージョン（Ver.2.56.0以前）の「ニコパス」には免許証画像の登録画面が残っている場合があるものの、「登録完了」の表示が出ても、画像データは保存しないとしている。
影響と背景
免許証などの本人確認書類画像を巡っては、カーシェアリングサービス「タイムズカー」で不正アクセスが発生した。運営会社のパーク24は10月16日、会員登録時に提出された本人確認書類の画像について、登録確認後すぐに削除するよう社内ルールを変更すると発表した。また、保有している本人確認書類の画像も、会員からの申し出の有無にかかわらず、10月末までに全て削除するとしている。
レンタスは、サイバー攻撃の増加を踏まえ、個人情報の保護を強化する観点から、免許証画像の事前登録機能を廃止し、保存済みデータを削除した。
対策・今後の展望
レンタスは、免許証画像の事前登録機能を廃止し、今後は利用当日に店舗受付で運転免許証を提示してスタッフの確認を受ける運用に切り替える。利用者から預かっていた免許証画像データは全て削除したという。
旧バージョンのアプリ画面に登録機能が残っている場合でも、「登録完了」の表示後に画像データは保存しないとしており、免許証画像をアプリ上で保管しない方針を明確にしている。
CSRIからのアドバイス
本人確認書類の画像は、サービス提供側で保管・閲覧できる状態が続くほど、攻撃者に狙われやすい情報の一つとされる。特にネット経由で取り扱う場合は、不正アクセスによる持ち出しや、管理上の不備による想定外の露出が起きないよう、保管の要否と期間を絞る考え方が重要になる。
例えるなら、免許証画像をためておくのは「金庫に現金を入れて保管し続ける」ようなものだ。つまり、盗まれたときの影響が大きいものを、必要以上に手元に置き続けないことが基本になる。今回のように、店舗での提示とスタッフ確認に戻す判断は、保管し続けるリスクを減らす方向といえる。
まず、社内で本人確認書類や身分証の画像を保管している業務がないかを確認し、保管が必要な場合でも期間やアクセスできる担当者を最小限にする。次に、利用しているアプリやクラウドで「保存されていない前提」の画面が残っていないか、最新版への更新方針を担当者に共有する。最後に、利用者への案内文で運用変更点（提示方法、確認方法）を統一し、現場対応のばらつきを抑える。