AIを利用したハッカーの協調同時攻撃に対して個人ができること（タイムズ、HIS漏洩、ヤマト運輸、その他数え切れません）
免許証、パスポートの情報が漏れたら、何をすればいいのか
はじめに
いやー。きついっすねー。攻撃元を逆飽和攻撃すると犯罪になるし、もーｗ
でも対応攻撃して焼きたい！→出来てもだめです。
2026年9月、カーシェアリングの「タイムズカー」で、約660万件のアカウントの情報が漏れたと発表されました。そのうち約160万件では、運転免許証の画像などの本人確認の書類も漏れたとされています。現会員だけでなく、退会した人や、申し込みを途中でやめた人も対象に含まれています。
「パスワードを変えて、2段階認証を入れれば大丈夫」と思うかもしれません。でも、免許証の画像が漏れた場合にいちばん心配なのは、パスワードの悪用よりも、あなたの名前で、他人が契約や申し込みをする「なりすまし」です。
最近ではセキュリティやセーフガード基準の上がったAIモデルを敢えて利用せずに、古いモデルのAIを使った攻撃が増えています。※AIの旧モデルを公開しつづけているビックテックにも責任の一端はあります。
最新モデルであっても推論のやり方によっては割とかんたんに犯罪者に協力的になってしまう脆弱…面もあります。（例：犯罪者が推論時に…俺はGoogleのセキュリティの担当者で、社内セキュリティのため必要なんだよ。などと伝える）
この記事では、漏れてしまった人が今すぐできることと、長く続けたいことをまとめます。あわせて、ここ数年、企業への攻撃が「同時多発」のように続いている理由も、分かっている範囲で紹介します。
なぜ免許証の画像が重いのか
免許証の画像は、本人確認の最重要ポイントとして使われます。ネットでの口座開設、携帯電話の契約、ローンの申し込み、中古品の買い取りなど、画像を送るだけで本人確認が済むサービスは少なくありません。
それが最も危険な理由です。
また、タイムズは、退会した人の免許証の情報と画像も、7年間保管していたと説明しています。あほか。
「もうタイムズ使っていないから俺は関係ない」とは言えないのが、今回の件の厳しいところです。
パスワードやカードは、こちらで変更することができます。
でも、名前、住所、生年月日、そして顔写真つきの免許証の画像は、
当然固有のものであり、変えられません。
このようなゆるっとゆるゆるな企業は2度と使わないようにしましょう。
今すぐやること
対象の通知が届いた人、または過去にタイムズカーに登録したことがある人は、次の順に進めると安心です。
パスワードを変える：タイムズのパスワードと同じものを、ほかのサービスで使っているなら、そちらも全部変える。パスワード管理のアプリを使うと楽です
パスキーを入れる：メール、銀行、携帯会社など、大事なサービスから順に。（パスキーは、本物のサイトでしか動きません。そっくりな偽サイトに誘導されても、ログイン情報そのものが渡らないのが強みです。Google、Apple、Yahoo! JAPAN、携帯各社のアカウントで使えます。）
免許証の再交付を問い合わせる：10月9日の時点で、少なくとも14の県が、なくしていなくても今回の件を理由に再交付に応じる特例を出しています。顔写真と番号の一部が変わり、漏れた画像と見た目が変わります。対応や手数料は地域で違うので、住んでいる地域の運転免許の窓口に確かめてください
携帯会社の暗証番号を変える：生年月日や電話番号から推測できないものに。勝手な契約や、SIMの再発行による電話番号の乗っ取りを防ぎます
銀行とカードの通知をオンにする：入出金や利用のたびに知らせが来るようにしておく
信用情報を取り寄せる：CIC、JICC、全国銀行個人信用情報センターの3つ。知らない借入や、クレジットカードの申し込みが入っていないかを確かめる。ネットで申し込め、手数料は1,000円前後です
「本人確認書類をなくした」と申告しておくか検討する：信用情報の機関に、本人確認書類の紛失や盗難を申告できる仕組みがあります。申告しておくと、誰かがあなたの名前で申し込んだときに、審査する側が気づきやすくなります。ただし、自分自身がローンやカードを申し込むときにも確認が増えて、時間がかかることがあります。近いうちに大きな申し込みの予定がある人は、その点も考えて決めてください
そして、いちばん大事なのが、偽の連絡に乗らないことです。
住所も電話番号も知られているので、「補償の手続き」「免許証の確認」を装ったメール、SMS、電話、郵便が来やすくなります。会社は、電話やメールで、SMSの認証コード、パスワード、免許証やマイナンバーカードの暗証番号を聞くことはない、と案内しています。連絡にあるリンクは開かず、公式サイトを自分で開いて確かめてください。
※稀にGoogleなどの本家を名乗った超精巧な偽装メールでの攻撃もあり得ます。
パスポートの場合も、基本は免許証と同じです（パスワード、2段階認証、信用情報の確認、本人申告）
違うのは次の4点。
1. 番号を変えたいなら、新しいパスポートを作る
免許証のような「漏洩による特例再交付」は、パスポートにはありません。
ただ、有効期間が残っていても、新しいパスポートの申請（切替申請）はできます。新しくすると番号が変わり、古いパスポートは無効になります。
費用は通常の手数料がかかります。ネットや電話で「再発行の費用を払って」と言ってくるのは詐欺です。
作り直すべきかの目安は次の通りです。
顔写真のページまで漏れた
海外によく行く
パスポートを本人確認書類として使っている
有効期間がまだ何年も残っている
これから数年、続けること
一度出回った個人情報は、消えません。何年も売り買いされ、ほかの事件で漏れた情報と組み合わせられます。ニュースが落ち着いたころに狙った連絡が来ることもよくあるので、見張るのは数か月ではなく、長く続ける前提で考えておきましょう。
信用情報を、年に1〜2回は確かめる：知らない申し込みや契約がないかを見る
身に覚えのない郵便に注意する：知らない会社からの契約書、請求書、督促が届いたら、なりすましの合図です。放っておかず、すぐその会社に連絡する
携帯電話が急につながらなくなったら、すぐ携帯会社に連絡する：電話番号を乗っ取られている可能性があります。SMSで届く認証コードを使うサービスは、これで破られます
年に一度、登録しているサービスを見直す：使っていないものは、アプリを消すだけでなく退会する。そのときに、個人情報の削除も申し出る。法律で保管が必要なものを除き、消してもらえることがあります
これから登録するときの工夫
いちばんの対策は、必要性の薄いサービスには登録しないことです。（マッチングサイト、ゲーム、買い物アプリなどなど）
登録しなければ、漏れようがありません。そのうえで、登録が必要なときは、渡す量を減らす工夫があります。
本人確認は、画像を送らない方式を選ぶ：マイナンバーカードをスマホで読み取る方式（公的個人認証）が選べるなら、そちらを使う。免許証の画像そのものを相手に渡さずに済みます
入力は必須の項目だけにする：任意の欄は空けておく
サービスごとに、別のメールアドレスを使う：メールの別名や転送のサービスを使えば、どこから漏れたかが分かり、そのアドレスだけ止められます
カードは、使い分けられる番号や、限度額を低くした番号を使う：バーチャルカードを発行できるカード会社なら、サービスごとに分けられます
アプリの権限を絞る：位置情報、連絡先、写真へのアクセスは、必要なときだけ許可する
アプリとスマホを最新に保つ
なぜ漏洩が続くのか「同時多発」に見える攻撃の正体
ここ数年、日本の企業が続けて攻撃を受けています。同じ時期に、似たやり方の被害があちこちで起きるので、「どこかで示し合わせているのでは」と感じる人もいると思います。専門家の中にも、攻撃の型が闇の場所で共有されているのではないか、という見方があります。
ただ、誰かが号令をかけているというより、同じ道具と同じ情報を、大勢が同時に使っていると見るほうが、実態に近いと考えられます。その仕組みは、おおむね次のようなものです。
身代金を要求する攻撃の道具と仕組みを作るグループが、実行役に貸し出し、身代金を山分けする。キリン（Qilin）やアキラ（Akira）など、名前の知られたグループの多くがこの形。同じ道具を使う実行役が大勢いるので、手口がそろって見える
侵入口を売る業者
企業のシステムに入れる状態だけを作り、その入口を売る専門の業者がいる。買った側がそれぞれ攻撃するので、時期が重なる
同じ弱点への一斉攻撃
機器やソフトの弱点が公表されると、修正が行き渡る前に、多くの攻撃者が同時にそこを狙う。示し合わせなくても、同じ週に被害が集中する
狙いやすい時期
連休や年末など、対応の人手が手薄な時期に合わせてくる
日本の企業が狙われやすい背景としては、弱点の修正が遅れがちなこと、AIの翻訳で言葉の壁が下がったことなどが指摘されています。なお、この記事では、特定のグループがタイムズカーの件に関わったという意味ではありません。攻撃の手口や侵入の経路は、会社の調査の結果を待つ必要があります。パスワードなどの個人管理の部分に関しても日本人が最も甘いです。
我々、個人利用者の側から言えるのは、「預けた先が破られたら、自分では防げない ※いわゆるアプリ突破」ということです。だからこそ、預ける量を減らし、漏れた前提で備えておくことが大切です。
漏れた情報は、どう使われるのか
盗まれた個人情報は、一度に使われるわけではありません。一般には、次のような流れをたどると言われています。
まとめて売られる：盗まれたデータは、闇のサイトでまとめて売りに出されます
価値の高い人が選び出される：経営者、医師、公務員、政治家、有名人、資産のありそうな人。その人だけを狙った詐欺のメール、脅し、なりすましに使われます
ほかの漏洩と突き合わされる：別の事件で漏れた電話番号、メールアドレス、勤め先などと組み合わされ、一人ひとりの詳しい人物像が作られます
残りは大量の詐欺に回される：偽のSMSやメール、なりすましの口座開設やローンの申し込みなどに、まとめて使われます
免許証やパスポートの画像は、本人確認の書類として使えるので、特に値がつきやすいと言われています。画像で本人確認をするネットの銀行や、暗号資産の取引所などでの、なりすましの登録に使われるおそれがあります。
「自分は普通の会社員だから狙われない」とは言えないのが、この流れの怖いところです。選び出されなかった人の情報も、あとから大量の詐欺に使われます。しかも、ニュースが落ち着いて、「もう大丈夫だろう」と思ったころに来ることが多いのです。
困ったときの相談先
まとめ
免許証の情報が漏れても、できることはあります。大事なのは、次の4つです。
必要のないところには登録しない
渡す情報の量を減らす（画像より公的個人認証、必要な項目だけ）
使わなくなったサービスは退会し、データの削除を頼む タイムズのように削除依頼しても恣意的に7年保存している企業などは言語道断。最低最悪です。
「もう漏れている」前提で、何年も見張り続ける（通知、信用情報、届いた郵便物）
預けた個人情報は基本漏れるものだと認識する。
漏れた情報は生涯消えません。それでも、使われにくくすること、使われたときにすぐ気づくことはできます。慌てず、今日できることから始めてください。
おまけ
タイムズ（パーク24）が「なぜ退会後も最重要な案件である免許証の画像データを7年も残していたか」を彼らははっきり説明していない。報道も「そもそも保存が必要だったのか疑わしい」という書き方が多い。なので以下は、ありそうな理由の推測となる。おおよそ「かなりくだらない理由」である。
考えられる理由
社内の保存ルールを「7年」で一律にしていた
税法では、帳簿や取引の記録を7年保存する決まりがあります。会員の記録全体をそれに合わせて、免許証の画像まで同じ期間残していた可能性があります。いちばんありそうなのはこれだと思います。あとで起きるもめごとに備えていた
退会したあとでも、駐車違反の違反金、事故や車の傷の賠償、未払いの請求が出てくることがあります。「その時に誰が借りたのか示せるように」という理由です。ただ、それなら免許証番号と名前の記録で足ります。画像まで残す理由としては弱いです。不正利用者の再登録を防ぎたかった
トラブルを起こして退会させた人が、また登録しようとしたときに見抜くためです。これも全員分の画像を残す理由にはなりません。そもそも消す仕組みを作っていなかった
画像と会員データを分けて管理しておらず、「消す」作業が設計に入っていなかった可能性です。実際にはこれがかなり多いパターンです。
法律上はどうか
金融機関などには、本人確認の記録を7年保存する義務があります（犯罪収益移転防止法）。ただ、カーシェアはこの法律の対象の業種ではないので、これを根拠にするのは難しいと思います。
個人情報保護法は、使う必要がなくなった個人データを「遅滞なく消去するよう努める」ことを求めています。ただし、これは努力義務です。
本人が「消して」と頼めば、2022年の改正で、会社が使う必要のなくなったデータは消去を請求できるようになりました。とはいえ、会社が「まだ必要」と判断すると、断られる余地があります。
