AI 時代の情報漏えい、特損 55 億円 — 顧客データは「持たない・分ける」

何が起きたの? — 見舞金と特別損失

パーク24は 10 月 23 日、カーシェア「タイムズカー」への不正アクセスについて、続報を発表しました。運転免許証などの本人確認書類の画像は、約 146 万件が漏れたことが確認されています。

タイムズカーでは、氏名や住所、メールアドレス、免許の情報などを含む約 663 万件の漏えいも確認されました。現時点で、漏れた情報が売買・公表された事実は確認されていないとしています。

同社は社外取締役を中心とする調査委員会を立ち上げ、年内をめどに情報セキュリティーの強化策を公表するとしています。

同じ月には、バーガーキングの公式アプリでも会員情報約 1,118 万件の流出が発表されました。氏名や電話番号、生年月日などが含まれます。

なぜ「守り切れない」前提なの?

AI が攻撃する側の道具にもなっているからです。AI 開発の Anthropic は 2025 年 11 月、国家の支援を受けたとみられる中国の集団が、同社の AI を使った攻撃を報告しました。

この攻撃では、作業の 80〜90% を AI が実行し、人の介入はときどきで済んだとしています。攻撃の手数が増えれば、すべてを防ぎ切るのは難しくなります。

そこで ITmedia エンタープライズの寄稿は、重要なシステムを「分ける」ことを勧めています。機能を複数のサービスに分け、データもサービスごとに置く考え方です。

家にたとえると、金庫を 1 つの部屋にまとめず、部屋ごとに鍵を分けるようなものです。1 つの部屋に入られても、ほかの部屋の中身までは持ち出されません。

「持たない」とは、何を変えること?

ITmedia ビジネスの記事は、アプリ会員の情報の「持ち過ぎ」を問題にしています。ハンバーガーを買うのに、生年月日まで必要なのかという問いです。

実は、法律はすでに方向を示しています。個人情報保護法の第 22 条は、使う必要がなくなった個人データを遅滞なく消すよう努めることを求めています。

技術の面でも「持たない」仕組みは広がっています。たとえば Apple の「メールを非公開」は、ランダムなメールアドレスを作り、本人のアドレスへ転送する機能です。アプリの側は本人のアドレスを受け取りません。

仕事や会社はどう変わるの?

これまでは「集めておけば、いつか役に立つ」という考え方が主流でした。これからは、持っている情報そのものが、漏れたときの負債になります。

ただし、制約もあります。データを減らせば、販促の分析に使える材料も減ります。システムを分ければ、作り直しの費用と手間がかかります。

また、自社で持たなくても、委託先や決済の会社が攻撃されれば情報は漏れます。預け先の管理まで含めて考える必要があります。

SYNCON の視点 — データは資産であり負債でもある

パーク24の例が示すのは、漏えい 1 件ごとに値段が付く時代になったということです。1 人 3,000 円でも、件数が多ければ数十億円の損失になります。

経営として決めたいのは 2 つです。1 つは、顧客情報の項目ごとに「使い道」と「消す時期」を決めること。もう 1 つは、最も大事な情報をどのシステムに置き、何と切り離すかを決めることです。

どちらも、システム部門だけでは決められません。マーケティングや営業が「念のため」で集めている項目を見直す場を、経営の側から用意することが出発点になります。

要点まとめ

• パーク24は対応費用 55 億円を特別損失に計上し、最終利益見通しを 385 億円に引き下げた
• 画像約 146 万件の漏えいで、1 人 3,000 円、総額約 44 億円の見舞金を払う
• バーガーキングはカード番号を持っていなかったため、その流出を避けられた
• 攻撃の 80〜90% を AI が実行した例があり、守り切れない前提の備えが要る
• 備えは「持たない(集めない・消す)」と「分ける(システムとデータを分ける)」の 2 本立て