GMO不正アクセス 第3回：使わない個人情報まで集める日本の企業

ある晩、父の受信箱にたまった販促メールを一通ずつ配信停止していった。送信元の多くは、配信停止の前にログインを求めてきた。同じ月、駅の無料Wi-Fiは接続の条件としてメールアドレスを要求し、つないだあとの通信は暗号化されておらず、どのサイトを見ているかが周りに分かる状態だった。年齢と何の関係もない商品の会員登録では、生年月日の入力が必須だった。どの会社も、求めた情報を実際には必要としていなかった。それでも集めた以上は守る責任があり、漏らせば会社の過失になる。先月のGMOインターネットグループのように、必要のない情報まで見える設定にしておいた企業も同じだ。

配信停止にログインを求める#

配信停止のリンクを開くとログイン画面が出て、パスワードの入力を求められる。これは、偽メールでパスワードを盗むフィッシングの犯人が受信者にさせたい行動そのもので、それを正規の会社が求めている。しかもこのやり方は、Gmailがすでに送信者に課している基準を満たしていない。Gmail宛てに1日5000通を超えるメールを送る事業者は、2024年2月1日以降、受信者がログインせずに1回の操作で配信停止できる仕組み（メールソフトの画面に配信停止ボタンが出るようにするもの）を備えなければならない。^[1]

私の取引銀行も同じだ。三菱UFJ銀行の販促メールの末尾にある配信停止のリンクを開くと、インターネットバンキングにログインして自分で設定を探すよう指示するページが出る。

もっと罪の軽い例が、アプリでしか開けない配信停止リンクだ。父に届いていた決済会社のメールは、配信停止のリンク先がpaypay://で始まるアドレスで、同社のアプリを開く仕組みになっていた。スマートフォンなら動くが、父がメールを読むWindowsのパソコンでは、リンクは白紙のページに行き着いた。しかもリンクは、誰がクリックしたかを記録するための中継ページを経由しており、そのページが暗号化されていない通信（HTTP）だったため、ブラウザが警告を出した。父は「戻る」を押した。

利用者の情報を集めながら暗号化しない公衆Wi-Fi#

日本の無料公衆Wi-Fiの多くは、通信には必要ないにもかかわらず、メールアドレスを登録するか別のアカウントでログインしないとつながらない。これは国の方針でもあり、総務省の「無線LANビジネスガイドライン」（2019年9月最終改定）は、不特定多数向けの無料公衆無線LANでは利用者を確認することを推奨している。方法として挙げるのは、確認済みの電話番号やメールアドレス、既存のネットサービスのアカウントだ。^[2] これでは、Wi-Fiが表示するページに個人情報を入力することに利用者が慣れてしまう。駅のWi-Fiと同じ名前のネットワークを立てて同じ見た目の登録ページを出せば、誰でも、入力されたメールアドレスや電話番号を集められる。

JR東日本自身による無料Wi-Fiの接続案内（2018年）。ネットワーク名に鍵マークはなく、接続時に出る登録画面はメールアドレスの登録を求めている。^[8]

カフェのWi-Fiになると、聞かれることはさらに増える。タリーズコーヒーの店舗で使える無料Wi-Fi（USENのサービス）の接続画面は、生まれた年と性別を選ばないと先に進めない。その画面自体が、スマートフォンでは「安全ではない」と表示される。

同じガイドラインは、情報セキュリティ対策の節で、暗号化に対応した無線機器を設置すること、重要な情報をやり取りするときはブラウザの鍵マーク（通信が暗号化されている印）を確認するよう利用者に周知することが望ましい、とも書いている。^[2] 私の経験では、利用者確認のほうはどこでも行われ、暗号化のほうはほとんど行われていない。パスワードなしの公開ネットワークを暗号化する技術は、2017年に国際的な技術仕様として定められ、^[3] 2018年6月からはWi-Fi機器の業界団体Wi-Fi Allianceの認証「Enhanced Open」にもなっている。^[4] 利用者の操作はこれまでと変わらず、違いは同じネットワーク上の他人に通信を読まれなくなることだけだ。日本の公衆Wi-Fiでこれを使っているものに、私はまだ出会っていない。

暗号化のないWi-Fiで何が見えるか#

いまやウェブの通信の大半はHTTPS（サイトとの通信を暗号化する方式）で、同じ公開ネットワークにいる他人がネットバンキングの中身を読むことはできない。それでも、同じネットワークにいる他人にできることは次のとおりだ。

• サイトの名前から接続先の住所にあたる番号を調べる問い合わせは、たいてい暗号化されていない。どのサイトを見たかの一覧はここから分かる。
• 父のメールにあった、誰が開いたかを記録するリンクのような、暗号化されていない中継ページは、途中で読み取ることも書き換えることもできる。
• メールアドレスを求める登録ページは簡単に偽装できる。HTTPSには、そのページが本物だと証明する仕組みも含まれているが、本物の登録ページにはそれがないからだ。
• 誰かが同じ名前の偽のWi-Fiを立てても、暗号化がなければ端末は本物と区別できない。

Enhanced Openは前の2つを塞ぐが、後の2つには効かない。対応した無線機器なら、設定項目ひとつで有効にできる。

会員登録に生年月日#

日本の会員登録フォームは、メールを送るだけのサービスでも、漢字とかなの氏名、生年月日、性別、住所、電話番号を求める。項目を増やせば、漏らしたときに背負う責任もそれだけ増える。何も売っておらず、年齢制限もないサービスでも、生年月日は必須項目になっている。なぜ生年月日が要るのか。

法律は何を求めているか#

欧州では、この習慣は原則として違法である。EUの個人情報保護法であるGDPR（一般データ保護規則）は個人データについて「処理の目的との関係で、十分であり、関連性があり、必要なものに限定されること」を求め、これを「データ最小化」の原則と呼ぶ。^[5] これに違反すれば、全世界売上高の4%を上限とする、最も重い区分の制裁金の対象になる。^[7]

日本の個人情報保護法に、これに当たる条文はない。第17条は利用目的をできる限り特定することを、第18条は利用目的の達成に必要な範囲を超えて個人情報を取り扱わないことを求めている。^[6] どちらも、目的に必要な情報しか集めてはならないとは言っていない。利用目的に「サービスの提供および改善のため」と書いたうえで生年月日を求める会社は、法律を守っている。

企業がすべきこと#

これは利用者ではなく企業が解決すべき問題だ。サービスが実際に使う情報だけを求める。配信停止のリンクは、ログインなしで配信を止められるものにする。公衆Wi-Fiは利用者が誰かを確かめずに接続させ、機器が対応していればEnhanced Openで通信を暗号化する。年齢制限のないサービスなら、生年月日を必須項目にする理由はない。

出典#

1. Google、メール送信者のガイドライン、Gmailヘルプ。1日5000通超の送信者への要件、2024年2月1日適用。RFC 8058によるワンクリック配信停止。
2. 総務省、無線LANビジネスガイドライン、2013年6月25日策定、2019年9月6日最終改定。3.2.1「適切な情報セキュリティ対策」および別添「利用者情報の確認にあたっての留意事項」。
3. IETF、RFC 8110: Opportunistic Wireless Encryption、2017年3月。
4. Wi-Fi Alliance、New program enhances protections, maintains ease-of-use on open Wi-Fi、2018年6月。
5. GDPR第5条 個人データの取扱いに関する原則、第1項(c)。
6. 日本法令外国語訳データベース、個人情報の保護に関する法律（平成15年法律第57号）、第17条・第18条。
7. GDPR第83条 制裁金を科すための一般的条件、第5項。
8. JR東日本、新幹線での訪日外国人のお客さまに向けた無料公衆無線LANサービスの開始について、2018年5月。「2 Wi-Fiの設定」。