本人確認に使った免許証の画像を、いつまで持ち続けるのか

攻撃者はWebシステムの脆弱性を悪用して侵入し、内部を探索しました。そこで取得した情報を利用して、データベースやファイルの保存領域へアクセスしています。脆弱性の種類や具体的な攻撃手法は非公表です。

外部送信の痕跡が確認された本人確認書類の画像データは、約146万件でした。画像は暗号化されており、送信されたことが、そのまま画像の内容を閲覧できたことを意味するわけではありません。ただし、将来の復号の可能性は完全には否定できないとされています。[2]

本人確認のために預かった画像も、保管している限り、侵入後に狙われる情報になります。

タイムズカーでは、本人確認書類の画像を、会員期間中に加えて退会後も7年間保管していました。入会時の本人確認だけでなく、不正利用が疑われる事案や問い合わせへの対応などに使うためでした。

事件を受け、この運用を見直しました。登録確認の完了後は画像を即時削除し、保管中の画像も2026年10月末までに削除する方針です。一方、将来の問い合わせなどで、過去に保存していた画像と同じものかを確認するための情報は残します。[2]

画像を残すことで対応していた仕事を、画像そのものを持ち続けずに行う運用へ変えたという点が、この見直しのポイントです。

本人確認のために画像を受け取る際には、確認が済んだ後に何を残すかまで決めておきたいところです。

問い合わせや不正利用への対応に情報が必要でも、毎回、本人確認書類の画像全体が必要とは限りません。確認日時や結果、確認した項目などで仕事を進められるかを検討し、画像を残す場合には、その目的と期間に見合った保護を設計します。

• 何の仕事に、どの情報が必要か
  入会審査、問い合わせ、不正利用への対応を分け、画像そのものが必要な場面を確かめる。
• いつまで保存するか
  確認完了、入会手続きの中断、退会など、情報が不要になる時点を決める。
• 期限が来たら、確実に削除できるか
  削除を担当者の判断や利用者からの申し出に任せず、システムと運用に組み込む。

侵入を防ぐ対策とあわせて、侵入されたときに何が残っているかも見直す。本人確認を導入する際には、情報を受け取って確認するところから、必要な記録を残し、不要になった情報を消すところまでを設計する必要があります。