ヤクルト本社の漏えいは39,505件、2011年からの問い合わせも

ヤクルト本社のサイトから漏れた個人情報は、現時点で39,505件です。報道関係者の問い合わせは2011年2月から、一般の問い合わせは2015年4月からの分で、10年以上前に書き込まれた中身まで漏れたことになります。

同社が11月4日18時に出した第3報で分かりました。第2報で「約4万件」としていた数を精査し、対象者ごとの件数と期間を初めて示しました。10月30日までの経過と漏れた項目は、前の記事で読めます。

5つの区分と、それぞれの期間

5つを足すと39,505件で、対応した社員の59件も件数に入っています。全体の8割は、①の一般の問い合わせでした。

項目は第2報から変わらず、新しいのは④の区分だけです。対象は「お肌で体感！乳酸菌スキンケアキャンペーン（Wチャンスプレゼント）」で、氏名、郵便番号、住所、年齢、電話番号、購入商品、購入理由と、任意のメールアドレスが漏れました。

第1報が10月26日19時、第2報が30日9時、第3報が11月4日18時。件数の総数から内訳と期間まで、9日ほどで出そろった形です。

2022年2月までの応募も漏れていた

第3報でいちばん考えさせられたのは、期間の列でした。④の応募は2022年2月までの分で、4年半以上前のものです。③の報道向けの問い合わせは15年あまり前、2011年2月までさかのぼります。

保存の場所は第2報にも第3報にもありませんが、ホームページへの不正アクセスで2011年の問い合わせまで漏れた以上、サイトから届く所に15年分の中身が残っていたことになります。件数の大きさは、入口よりも残してきた年数でほぼ説明がつく、と編集部はみています。

もういない相手のデータまで件数に入る例は、ほかの会社にもありました。11月3日〜6日の図解では、アイリスプラザの退会した会員や、良品計画の解約・期限切れのカード約74.5万件など、5件が見つかっています。ヤクルト本社の④も、同じ並びに入るでしょう。

個人情報保護法は、利用する必要がなくなった個人データを「遅滞なく消去するよう努めなければならない」と定めます¹。努力義務なので、残していたことがすぐに違反になるわけではありません。ただ、最後の応募から4年以上たった応募者の住所を残しておく理由は、外からは見えにくいでしょう。

問い合わせのフォームも同じです。返事を済ませた問い合わせの中身が、10年分以上残っていました。①の31,781件を11年7か月で単純に均すと、1年あたり2,700件ほど。保存を直近の1年に絞っていれば、①の件数は10分の1以下で済んだ計算になります。

自社のフォームには、いちばん古いもので何年前の中身が残っているか。第3報で期間の列を見たら、自社のフォームでも同じ列を作ってみたくなります。

通知のメールは、第3報の表と照らして見分ける

ヤクルト本社は対象者に順次メールで連絡するとしました。メールが届かない人には、第3報をもって個別の連絡に代えるという扱いです。専用の窓口は11月5日9時に開き、電話番号は0120-400-507、受付は土日と祝日を除く9時〜17時です。

本物の通知は対象者にとって必要な知らせですが、届き始めると偽のメールとの見分けはかえって難しくなります。同社はパスワードや口座番号、クレジットカード番号を尋ねることはないとし、不安なときはメールのリンクではなく、自分でホームページを開いてお知らせを確かめるよう求めました。見分ける手がかりは、メールに書かれた対象の区分と項目です。第3報の表と照らし、たとえば給食サイトの会員あてなのにカード番号の話が出てくれば、表に無い話だと分かります。

社内に伝えるなら、「ヤクルトからのメールは開かない」より「リンクは使わず、サイトか専用窓口で確かめる」のほうが、本物の通知を捨てずに済むはずです。給食サイトの会員には、同じパスワードをほかのサービスで使っていれば変えてほしい、というお願いも加わりました。

通知が職場に届きうる会社、影響しない会社

たのしい給食は勤務先と部署、勤務先の住所と電話番号まで登録するサイトです。給食の現場で働く人や、給食を請け負う会社の人が使うとみられます。職場のメールアドレスで登録した人には、通知も職場に届きます。

③の1,613件は記者や編集者が会社名と会社の住所を添えて送った問い合わせです。報道機関の総務や情シスには、取材の担当者あてに通知が届く可能性があります。①に会社のメールアドレスで問い合わせた社員がいれば、その会社も同じ立場です。

一方、ヤクルト本社のサイトを使ったことのない会社に、通知は届きません。カードと口座の情報は、第2報のとおり、サイトでは預かっていませんでした。ただし、ヤクルトを名乗る偽の連絡は、どの会社にも届きえます。

本物の通知が届き始めた週の段取り

1. 前に出した社内の案内に、ヤクルトお客さま相談センターの番号を書いていたら、専用窓口の0120-400-507に差し替えます。
2. 給食の部署や広報の担当に、通知のメールが届いたかを聞きます。届いていれば、本文のリンクは使わず、メールにある区分と項目を、自分で開いたヤクルト本社のサイトで第3報の表と照らします。
3. キャンペーンの受付を外部の事務局やフォームのサービスに任せてきたなら、契約の担当から委託先に、終わったキャンペーンの応募データが残っていないかを聞いてもらいます。
4. 自社のフォームごとに、データの置き場所、いちばん古いデータの日付、消す決まりの有無を一覧にします。そのうえで、個人情報の担当と保存期間の案を決めます。

第3報にも、侵入の原因と入口、いつから入られていたか、サイトを再開する時期、通知メールの差出人と件名は書かれていません。

2011年に報道向けのフォームから取材を申し込んだ記者は、15年後にその記録が漏れるとは考えていなかったでしょう。フォームを作る日に、中身を消す日まで決めておく。今回の第3報から持ち帰れるのは、その一点かもしれません。