ネット銀行で口座を開くとき、運転免許証をスマートフォンで撮って送る。表と裏、それに厚みが分かるよう斜めからもう1枚。多くの人が一度はやったこの手順が、予定より早く消えようとしている。金融庁が10月9日、金融機関に「可及的速やかな」対応を求めたからだ。
きっかけは、9月下旬から続く不正アクセスと情報流出である。カーシェアのタイムズカーでは、運転免許証の画像などを含むアカウントが約160万件漏れた。ローソン、JR東日本でも数百万件単位の流出が相次いだ。株式市場では、親会社のパーク24が2週間で13.4%下げ、セキュリティ関連株は2倍近くに買われた銘柄もある。連休明けの東京市場を前に、私たちの身の回りで何が起きたのかを、生活の側からたどる。
流出の連鎖と政府の対応（2026年9〜10月）
読み方：最初の流出公表から2週間で、流出の公表が他社に広がり、政府の通知が出そろった。件数はアカウント数で人数ではない。出所：パーク24、ローソン、金融庁、内閣官房国家サイバー統括室の発表。JR東日本と会議の内容は日本経済新聞などの報道による。
何が、どれだけ漏れたのか
最初に動いたのはタイムズカーだった。運営するタイムズモビリティが9月25日午前9時7分に不正アクセスを検知し、26日朝までに侵入経路を遮断した。パーク24は9月28日の第2報で、漏えいしたアカウントを約660万件と公表した。翌29日には、運転免許証の画像などの本人確認書類が漏れたアカウントが約160万件あると明らかにした。
ここで注意したいのは、660万件は人数ではなくアカウントの数だという点である。現在の会員に加えて、退会した人や登録を途中でやめた人のアカウントも含む。漏れた項目は氏名、住所、生年月日、電話番号、メールアドレス、免許証の情報などで、パスワードは変換済みの形だった。クレジットカードの情報は漏れていないと同社は説明している。
| サービス | 公表日 | 件数 | 主な漏えい項目 |
|---|---|---|---|
| タイムズカーなど（パーク24の子会社） | 9月28日・29日 | 約660万アカウント（うち本人確認書類の画像は約160万） | 氏名、住所、生年月日、電話番号、免許証の情報と画像。カード情報はなし |
| ローソンID（ローソン） | 10月8日 | 215万5,345件 | 氏名、メールアドレス、一部の住所と電話番号 |
| えきねっと（JR東日本） | 10月9日 | 最大約167万件 | メールアドレスのみ |
| 大人の休日倶楽部（JR東日本） | 10月9日 | 最大約39万件 | メールアドレス、会員番号、カードの有効期限、生年月日 |
JR東日本の流出は、メール配信を委託していた先の不正アクセスが原因と報じられている。報道によると、ソフトバンクの子会社であるIDCフロンティアの設備が侵入を受けた。同じ日にはビューカードも約403万件のメールアドレスの流出を公表した。自社の守りが固くても、委託先から漏れる。今回の連鎖は、その典型を見せた。
「非常事態」と言ったのは誰か
海外メディアは週末、「日本がサイバーの緊急事態を宣言」と伝えた。だが、この言葉の出どころは政府ではない。自民党の国家サイバーセキュリティ戦略本部が10月9日に会合を開き、本部長の平将明元デジタル相が「サイバー空間の非常事態」と述べた。朝日新聞と読売新聞が報じている。
政府の側では、前日の8日に初めての関係省庁の会議が開かれ、29の機関が集まった。古川俊治デジタル相は「大変危急の状況」と述べ、政府一丸の対策を求めた。法律にもとづく緊急事態の宣言は出ていない。言葉の強さは党が先行し、政府は注意喚起の文書で応じた、という順番である。
その文書の一つが、内閣官房の国家サイバー統括室が9日付で出した通知だ。「いつ攻撃を受けてもおかしくない」という前提で対策を講じることが重要だとし、委託先企業と共に管理することを求めた。同じ日に総務省、経済産業省、情報処理推進機構も注意喚起を出したと報じられている。
件数の面でも、今年は異常である。ロイターはTrendAIのデータとして、日本の1〜9月のサイバー事案の件数がすでに昨年1年分を上回ったと報じた。9月は86件で、8月より約18%、7月より37%多かったという。
「撮って送る」本人確認が前倒しで消える
私たちの財布に最も近いのが、金融庁の要請である。犯罪収益移転防止法の施行規則が改正され、2027年4月1日からは本人確認書類の画像を送る方法が廃止される。代わりに、カードのICチップを読み取る方法に原則として一本化される。金融庁は9日、この施行日を待たずに対応するよう金融機関に求めた。
誤解しやすい点。金融庁は「運転免許証を受け付けるな」と言ったわけではない。廃止を急ぐよう求めたのは、免許証を撮影した画像を送る方式である。免許証やマイナンバーカードのICチップをスマホで読み取る方式は、引き続き使える。対面での確認も対象外だ。
理由は単純だ。画像は一度漏れれば、誰でも何度でも送り直せる。タイムズカーの160万件のように免許証の画像が出回ると、他人になりすまして口座を開く材料になりかねない。ICチップはカード本体が手元にないと読み取れない。金融庁はこの方式を、不正対策として「極めて効果が高い」と位置づけている。金融庁は通知で、受け取った書類や顔の画像に不自然な点がないか、改めて確認することも求めている。
利用者の側から見ると、変化は二つある。一つは、これから口座を開く人は、スマホでカードを読み取る手順を求められる場面が増えること。もう一つは、タイムズカーなどの利用者が自分の登録状況を確かめる必要があることだ。同社の発表で、自分のどの情報が対象になったかを確かめておきたい。
株価は流出元と守る側で正反対に動いた
流出は株価にも跡を残した。パーク24（4666）の終値は、第1報の9月25日が2,013.5円だった。660万件を公表した28日は3.00%安、160万件の画像が判明した29日はさらに4.81%安となった。連休前の10月9日は1,743円で、9月25日から13.4%下げている。同じ期間に日経平均は4.0%上げ、TOPIXに連動するETFも0.5%上げた。
9月25日→10月9日の騰落率（東京市場の終値）
読み方：流出元のパーク24は2,013.5円から1,743円へ、サイバーセキュリティクラウドは1,961円から3,700円へ動いた。日経平均は6万6,364円20銭から6万9,030円92銭。出所：Yahoo!ファイナンスとstockanalysis.comの日足終値（両者で一致）。騰落率は本誌計算。
パーク24の下げをすべて流出のせいと決めつけることはできない。ただ、同社は9月28日の適時開示で、業績への影響について「精査中」としている。賠償や再発防止の費用がどこまで膨らむかは、まだ数字で示されていない。株主にとっては、その金額が出るまで重しが残る形だ。
反対側では、守る側の銘柄が買われた。サイバーセキュリティクラウド（4493）は9月25日の1,961円から10月9日の3,700円まで88.7%上げた。8日は始値、高値、安値、終値がすべて3,360円で、出来高は約41万株にとどまった。買い注文が売りを大きく上回り、ほとんど売買が成立しなかった形だ。トレンドマイクロ（4704）は9日に4.91%高の7,587円で、その日の高値で引けた。
一方で、FFRIセキュリティ（3692）は8日に17.73%上げた後、9日は6.02%下げた。テーマで一斉に買われた銘柄は、材料が出尽くすと下げも速い。セキュリティの需要が増えることと、すでに上がった株価で買うことは別の判断である。
生活防衛と投資の接点
生活の側でできることは地味である。流出を公表したサービスに登録しているなら、パスワードの使い回しをやめ、通知を受けたらメールのリンクではなく公式アプリから確認する。本人確認の手順が変われば、口座開設には少し手間が増える。この手間が、なりすましの費用を上げる仕組みだと考えたい。
投資の側では、選択肢をいくつか並べておく。流出元の企業は、業績への影響額が開示されるまで値動きが荒くなりやすい。守る側の銘柄は、受注や業績に表れるまで時間がかかり、株価が先に走りがちだ。指数全体で見れば影響は小さい。どの立場を取るかは、それぞれの資金の性格で決めることになる。本稿は特定の銘柄を勧めるものではない。
市場全体の地合いは、10月8日の日経平均の下げで触れたように不安定だ。IDCフロンティアの親会社であるソフトバンクについては、グループの見方をソフトバンクグループ株の解説にまとめている。
次に店頭へ届く変化
最初の節目は10月13日、連休明けの東京市場である。週末に海外で「緊急事態」の見出しが広がった後、パーク24とセキュリティ関連株がどう反応するかが最初の試金石になる。次は、各金融機関が画像による本人確認をいつ止めるかの発表だ。そして2027年4月1日、改正された施行規則が効力を持つ。
免許証を撮って送る手順は、便利さの代わりに、画像という複製しやすい鍵を社会にばらまいてきた。その鍵が漏れたいま、制度は急いで鍵穴を替えようとしている。私たちの手間が少し増えるのは、その費用である。
参照
- タイムズカーの不正アクセス（第1報〜第3報）／パーク24（9月25日）、同（9月28日）、同（9月29日）
- 業績への影響は「精査中」とした適時開示／パーク24（9月28日）
- ローソンIDの流出／ローソン（10月8日）
- JR東日本とビューカードの流出、政府の関係省庁会議／日本経済新聞（10月8日）、Impress Watch（10月8日）
- 自民党の会合での平将明本部長の発言／朝日新聞（10月9日）、読売新聞（10月9日）
- 不正アクセスによる漏えい等の事案を踏まえた対応について／内閣官房国家サイバー統括室（10月9日）
- サイバーセキュリティ対策の強化と各種取引申込等における対応について（注意喚起）／金融庁（10月9日）
- 1〜9月の件数が昨年1年分を超えたとするTrendAIのデータ／ロイター（転載）
- 各省庁の注意喚起の一覧／piyolog
- 株価（日足終値）／Yahoo!ファイナンス、stockanalysis.com
データ基準日：株価はすべて2026年10月9日までの東京市場の終値で、10月12日は休場である。終値は2つの情報源で一致を確認した。JR東日本とビューカードの件数は報道によるもので、同社の発表資料は本稿では直接確認できていない。IDCフロンティアが侵入を受けたとの説明も報道による。「被害企業は20社超」とする海外報道の数字は確認できなかったため使っていない。TrendAIの件数は同社の集計で、公的な統計ではない。パーク24の株価の下げには、流出以外の要因も含まれうる。本記事は情報提供を目的としたものであり、特定の銘柄の売買を推奨するものではない。投資判断はご自身の責任において行っていただきたい。
