やばいです。 件数より、中身が悪い。 運転免許の情報が出ている点です。免許証は日本で本人確認の主力証明で、番号と氏名と生年月日と住所が揃えば、口座開設、携帯契約、金融機関の本人確認、レンタカーの借用まで通る組み合わせになります。 クレジットカード情報が含まれていないことを会社は挙げていますが、カード番号は再発行できます。免許の情報は同じようには作り直せません。より深い層が抜けています。 660万件という規模も、日本の漏洩としては上位です。しかも身元確認に使える情報が丸ごと出ている点で、ベネッセ型（名簿情報）より危険度が高い。 時系列も気になります。9月25日に検知、28日に公表。三日は速いほうですが、いつから侵入されていたかが書かれていない。 デジタル庁のGSSの件も、5月下旬の侵入を6月25日に検知し7月9日に判明でした。検知日と侵入開始日は違います。発表に侵入期間がないのは、まだ分かっていないということです。 9月のデジタル庁24.6万件に続いて、同じ月に660万件です。片方は政府の共通基盤、片方は民間のカーシェア。 どちらも本人確認情報を扱う事業者で、どちらも侵入に気づくまで時間がかかっている。日本の認証基盤が、一枚の証明書に依存しすぎている構造が共通の背景にあります。 タイムズカーを使っているなら、免許の情報が出ている前提で動いたほうがいい。身に覚えのない契約の確認と、免許情報を使った本人確認を求める連絡への警戒です。 また、NHKが落としている事実が三つあります。 一．免許証の画像そのものが出ています NHKは「運転免許の情報など」と書いていますが、実際には本人確認書類として提出された運転免許証の画像、学生証の画像が含まれます。 番号や記載事項のデータではなく、 画像です。 これは別物です。オンラインの本人確認では免許証の画像をアップロードさせる方式が広く使われているので、画像がそのまま流出したということは、他社の本人確認をその画像で突破されうる、ということです。 カード番号と違い、免許証は再発行しても券面の記載はほぼ同じです。 二．退会済みと入会未完了の人も含まれます もう使っていない人、入会を申し込んだが完了しなかった人まで対象です。自分が当事者だと気づかないまま該当している人が相当数いる。NHKは「会員」としか書いていません。 三．外部連携サービスのIDが9件分 JR西日本グループの会員サービスなど、連携先のIDも対象です。被害はパーク24の中で閉じていません。 パスワードは復元できない形式で保管されていたとしていますが、連携IDが出ていれば、他サービス側での悪用の入口になります。 時系列は速いです。 25日9時5分から9時10分ごろに検知、26日7時25分までに経路遮断と通信遮断を完了、同日に第1報、28日に第2報で件数と内容を確定。 この対応の速さは、デジタル庁のGSS（5月下旬侵入、6月25日検知）とは対照的です。 デジタル庁は6月25日に大量ファイルアクセスを検知し、7月9日に侵入と判明して、同日にアカウント停止と外部通信の遮断を実施しています。 検知から遮断まで14日。 パーク24は25日9時5分から10分ごろに検知し、26日7時25分までに遮断完了。22時間です。 15倍の差があります。 注)デジタル庁には中国に深く関連する人物の藤原洋(中国人民日報日本語版のトップ)氏の会社の役員がデジタル庁の重要なポストにいます。