【2026.10.17】スカイチケット・タイムズカーの不正アクセス多発｜デジタル法の「個人情報保護」と企業責任をわかりやすく解説

神崎教授

きょうは大変だね。スカイチケットやタイムズカーなど、次々と不正アクセスで個人情報流出が起きている。クレジットカード情報、免許証画像…こういう被害から消費者の個人情報をどう守るか、デジタル法の視点から一緒に考えてみようか。

なぜ今、不正アクセス被害が相次ぐのか

ここ数日で報告されているのは、複数の大手企業が同時期に不正アクセスを受けているという異例の事態だ。スカイチケット（航空チケット販売サイト）、タイムズカーレンタル、バーガーキング、ブックオフ、ヤマト運輸など、業界も規模も異なる企業が狙われている。特に注目すべきは、AIによる攻撃の痕跡が確認されているという点。これは単なるハッカーの仕業ではなく、自動化された大規模な攻撃が進行中であることを意味している。

企業が保有する個人情報のセキュリティレベルが、時代とともに高度化する脅威に追いつけていないのが実情だ。クレジットカード番号、クレジット番号、さらには身分証明書の画像データまで、決済システムやAPI（アプリケーション間の接続）の脆弱性を突いて流出するケースが増えている。

蓮

AIが攻撃に使われているなんて…法律で対策できるんですか？

法律は何を要求しているのか

日本の個人情報保護は、主に3つの法律で支えられている。e-Gov法令検索で調べると、個人情報保護法（個人情報の保護に関する法律）が最大の要となっていることがわかる。この法律は個人情報を取り扱う企業に対して、「安全管理措置」を講じる義務を課しているのだ。

たとえば、通信の暗号化、アクセス権限の管理、定期的なセキュリティ監査などがこれに該当する。さらに2022年の改正個人情報保護法では、漏洩時の報告義務と本人への通知義務も強化された。つまり、企業は単に「謝罪します」では済まず、何をどう失敗したかを透明に報告し、影響を受けた本人にも直接連絡する義務があるということだ。

しかし問題は、この「安全管理措置」がどのレベルまで求められるかが、法律に明確に書かれていないという点だ。AIを使った攻撃に対しても「防ぐべき」とは書いてあるが、「どこまで防げばいいか」の基準は業界ガイドラインや個別判断に委ねられている。

神崎教授

つまり、「完全な安全」は法律でも要求されていないんだ。でも「最善の努力」は必須で、その水準に達していなければ、行政指導や罰金の対象になり得るわけだ。

消費者が知るべき「被害を受けたときの権利」

クレジットカード不正使用の場合、個人情報保護法だけでなく、割賦販売法（ローンやクレジット契約を規制する法律）も関係してくる。消費者が不正利用に気づいた場合、一般的にはカード発行会社に連絡し、チャージバック（返金処理）を請求できる仕組みになっている。国税庁が発表した統計では、2025年の不正アクセス被害は180件を超える相談が消費生活センターに寄せられている。

ただし重要な注意点がある。クレジットカード会社は「盗難保険」でカバーする場合が多いが、これは企業の過失度合いや本人の管理状況によって変わる。たとえば、パスワードを簡単にしていた、不正な支払い通知を見逃していた、などの過失がある場合、保険が適用されない可能性もある。だからこそ、毎月のクレジットカード明細を確認する習慣が大切だ。

また、個人情報保護委員会は企業に対して行政指導を行う権限を持っている。消費者が被害を届け出ると、当該企業がどのレベルの安全管理措置を取っていたかが調査される。その結果、基準に満たないと判断されれば、企業は改善命令を受け、従わなければ最大1000万円の罰金に処せられる可能性もある（法人の場合、さらに重い）。

タイムズカーが免許証画像保存ルールを変更した理由

タイムズカーレンタルが免許証画像の保存ルール変更に踏み切ったのは、デジタル法と実務のぶつかり合いを象徴している。従来、レンタカー業界では顧客確認（KYC＝Know Your Customer）のため、免許証の画像をサーバーに保存していた。しかし免許証には運転免許番号や住所、本人写真など、極めて重要度の高い個人情報が集約されている。

これが流出すれば、身分詐称や住所特定、さらには暴力団などによる恐喝に使われる可能性も高い。個人情報保護法第20条は「個人情報は、その利用目的の達成に必要な範囲を超えて、これを保有し続けてはならない」と定めている。つまり、免許証の確認が済んだ後も画像を「ずっと保存」するのは、法的には「過剰な保有」とみなされるリスクがあったわけだ。

ルール変更により、タイムズカーは確認後に画像を削除するか、暗号化して保存期間を短縮する措置を取る方針に切り替えた。これは法的リスク軽減だけでなく、消費者信頼の獲得にも繋がる戦略的な判断だ。

今日の教授まとめ

AIを使った大規模不正アクセスが増える中、法律は企業に「現実的に可能な最善のセキュリティ」を要求している。完璧な安全は存在しないが、個人情報保護法の「安全管理義務」に真摯に向き合わない企業は、行政指導や消費者訴訟の対象になり得る。消費者側も、被害を受けたら速やかに消費者庁や消費生活センターに届け出ること。企業の法的責任追及が、最終的には業界全体のセキュリティ向上につながるのだ。

📰 関連最新ニュース

相次ぐ不正アクセス被害を受け、消費者庁が不正アクセスに関して注意喚起し、消費生活センターなどに約180件の相談が寄せられていると報告されました（2026年10月17日）。また、スカイチケット、タイムズカー、バーガーキング、ブックオフ、ヤマト運輸など複数企業がAIによる攻撃の痕跡を含む不正アクセスの被害を報告しています（2026年10月17日）。

神崎教授

デジタル時代は、便利さとセキュリティのバランスが永遠の課題だね。企業も消費者も、法律を武器に「ちょうどいい安全度」を一緒に作り上げていく時代なんだ。

📖 今日の法律用語：個人情報保護法（こじんじょうほうほごほう）＝個人の基本的人権を守るため、個人情報の取り扱いを規制する法律。企業に安全管理義務と本人への通知義務を課す。