銀行のカードローンを借りた人の情報が、銀行ではなく、保証会社のシステムから漏れました。SMBCコンシューマーファイナンスの11月5日の発表では、保証業務に使うシステムが不正アクセスを受け、最大32万118人分の個人情報を含むデータが外部に送られました。
対象の項目には、勤務先の電話番号や年収、保証額まで入っていました。カードローンを借りていると知ったうえでの連絡が、作れてしまう中身です。
借りた銀行と、漏れた会社が違う
SMBCコンシューマーファイナンスは、「プロミス」を運営する会社です。地方銀行や信用金庫、インターネット銀行と提携し、カードローンなどの保証を引き受けてきました。一部の提携先には、カードローンのWeb申込フォームも提供しています。
少なくとも、次の2行が同じ11月5日に発表しました。
| 発表した会社 |
対象の人数 |
個別の連絡 |
ほかに書いたこと |
| SMBCコンシューマーファイナンス |
最大32万118人 |
範囲を特定したあと、提携先と相談してメールやSMSなどで |
保証システムを一時停止。11月6日に窓口のフリーダイヤルを追加 |
| ドコモSMTBネット銀行 |
カードローンの利用者のうち、最大12万2,635人 |
SMBCコンシューマーファイナンスが個別に案内する予定 |
銀行のシステムへの不正アクセスは確認されていない |
| 筑波銀行 |
同社と確認中 |
記載なし |
11月5日から、つくばカード「アスジョイ」の新規申し込みを停止 |
ドコモSMTBネット銀行の分だけで、全体の約4割にあたります。
借りた人が戸惑いそうなのは、連絡の差出人です。ドコモSMTBネット銀行によれば、案内はSMBCコンシューマーファイナンスから届く予定です。保証会社の名前まで覚えている人は多くありません。知らない会社からの「漏えいのお知らせ」に見えてもおかしくないうえ、偽の連絡も同じ名前を名乗れます。
だから、確かめるときは借りた銀行の側から入ります。届いたメールやSMSのURLは開かず、銀行のサイトのお知らせにある窓口か、SMBCコンシューマーファイナンスの専用窓口に自分からかけます。専用窓口はフリーダイヤルの0120-362-167と、03-5677-9228で、受付は平日と土日祝の9時から18時です。
SMBCコンシューマーファイナンスの発表（11月5日）。対象の項目と人数出典: SMBCコンシューマーファイナンス「当社保証システムへの不正アクセスによるお客さま情報の漏えいについて」(引用)
勤務先の電話番号まで入っている重さ
対象の項目は次のとおりです。運転免許証などの画像は含まれていません。
- 氏名、性別、生年月日、住所、自宅と携帯の電話番号、メールアドレス
- 運転免許証番号
- 勤務先の情報（電話番号、年収など）
- 契約の情報（金融機関コード、顧客番号、保証額、保証開始日など）
会員の名簿が漏れたときと比べると、悪用のされ方が変わります。保証額と勤め先が分かれば、勤務先に「ご返済の件で」と電話をかける詐欺も作れます。本人にとっては、職場に知られたくない話でもあるでしょう。
ここで会社の側に回ってくるのが、受付の電話です。勤務先の電話番号は、会社の代表番号であることが多いからです。本物のローン会社の在籍確認も、同じ代表番号にかかってきます。受付が偽の電話と本物の電話を聞き分けるのは難しく、取り次ぎ方そのものを決めておくほうが確かです。
発表に、まだ無いこと
原因と影響の範囲は、調査中です。侵入の経路や、データが外へ送られた時期は、発表にありません。二次被害は、「現時点において」確認されていないそうです。
対象の人の範囲も、まだはっきりしません。解約した人や申し込んだだけの人が入るかは書かれていません。プロミスのカードローンの利用者が含まれるかも、発表からは分かりません。今回の件は、保証業務のシステムの話です。
同社は10月30日に、プロミスのWeb・アプリのサービスを緊急メンテナンスで止めていました。再開は11月2日で、保証システムで不正アクセスを検知した日と同じです。再開のあとも、メールアドレスの変更と生体認証の登録は使えないままです。ただ、11月5日の発表はこの件に触れておらず、関係があるかは分かりません。
関係する人と会社
- 保証会社がSMBCコンシューマーファイナンスのカードローンを使っている人。保証会社の名前は、契約の書類か、借りた銀行のお知らせで確かめられます。
- 会社の業務システムに作業はありません。会社に関係するのは、受付の電話と、社員への注意の出し方です。
- 自社の顧客の申し込みを、提携先のフォームで受けている会社。家賃保証会社のフォームを使う不動産会社や、信販会社の分割払いのフォームを使う販売店などです。
受付の電話と社員への注意、月曜からの手順
- 社員への注意は、全員に同じ文で送ります。カードローンを使っているかを聞く形にはしません。例：「銀行のカードローンを保証するSMBCコンシューマーファイナンスから、個人情報が漏れました。心当たりのある人は、届いたメールやSMSのURLを開かず、借りている銀行のお知らせから窓口を確かめてください。会社に知らせる必要はありません」。
- ドコモの流出と合わせて、「最近の漏えいに便乗した連絡に注意」という1通にまとめる手もあります。ドコモの件の例文と並べれば、ローンの話だけが目立ちません。
- 受付と総務に、ローン会社や保証会社を名乗る電話の扱いを確かめます。
- 在籍の有無のほか、社員の連絡先や出勤の予定、私的な事情は答えません。在籍の有無まで答えないかは、会社ごとの決めごとです。
- 伝言は相手の名前だけを本人に直接伝え、用件を周りに書き残しません。「〇〇の会社からお電話です」というメモ1枚で、借入れが周りに知られることがあります。
- かけ直すなら、相手が言った番号ではなく、銀行や保証会社のサイトにある番号にかけるよう本人に伝えます。
- 提携先のフォームで申し込みを受けている会社は、提携先が漏らしたときに、自社の顧客に何と答えるか、だれが発表するかを決めておきます。
今回、漏らしたのは保証会社でしたが、ドコモSMTBネット銀行も筑波銀行も同じ日に自分の名前で発表し、問い合わせの窓口を出しました。顧客が知っているのは、借りた銀行の名前だけだからでしょう。提携先の事故でも、最初に問い合わせを受けるのは顧客に名前が見えている会社だと考えておくと、準備の順番を決めやすくなります。
