「660万件流出」判明の3日前、タイムズカーは何を伝えた？ 企業の命運を分ける「初報の鉄則」（1/5 ページ）

[大杉春子，ITmedia]

　「Webシステムに不正アクセスの形跡があります。顧客データが抜かれたかもしれません」

　平日の朝、情報システム部門から飛び込んできた一報。侵入経路も、漏えいした件数も、盗まれたデータの全容すらまだ分かりません。経営陣の背筋を冷たい汗が伝います。

　「全て調査が完了してから発表すべきか、それとも今すぐ頭を下げるべきか」

　多くの企業がこの初動判断を誤り、隠蔽（いんぺい）を疑われて致命的な二次炎上を引き起こしてきました。ですが、カーシェア大手「タイムズカー」を運営するタイムズモビリティが下した決断は違いました。 「約660万件のアカウント流出」という衝撃的な全貌が判明する3日前、同社はいち早く世に向けて“未完成の第1報”を公開していたのです。

　なぜ全容がつかめない段階で公表に踏み切れたのでしょうか。「不正利用は確認されていない」という常套（じょうとう）句に潜む罠とは何なのでしょうか。タイムズやセイコーマート、ソースネクストなどの最新事例から、企業の社会的信頼を分ける「危機管理広報の鉄則」とは何かをお伝えします。

タイムズやセイコーマート、ソースネクストなどの最新事例から、企業の社会的信頼を分ける「危機管理広報の鉄則」を解き明かす（写真提供：ゲッティイメージズ）

「660万件」が判明する3日前　タイムズカーは何を伝えたのか

　9月25日、タイムズカーを運営するタイムズモビリティは、Webシステムへの不正アクセスを公表しました。同社の発表によると、不正アクセスを検知したのは同日午前9時7分。調査の結果、第三者がシステムにアクセスした形跡を確認したといいます。

　第1報の時点では、約660万件という漏えい規模は公表されていません。同社が伝えたのは、会員の個人情報が外部に漏えいした可能性があるという事実でした。対象として、現役会員だけでなく退会済みの会員も挙げ、漏えいした可能性のある情報として氏名、住所、生年月日、電話番号、メールアドレス、免許情報、本人確認書類などを示しました。

　一方、当時の調査では、情報が不特定多数に公開された事実や、不正利用された事実は確認されていないとも説明しています。

　さらに、会員に対して、同社を装った不審なメールやSMS、電話への注意を呼びかけました。サービスは通常どおり利用できること、外部専門機関と調査を進めていること、24時間対応の問い合わせ窓口も案内しました。

　つまり第1報は、被害の全容を説明するものではありませんでした。不正アクセスを確認したこと、漏えいの可能性があること、想定される情報の種類、利用者が注意すべきこと、問い合わせ先を、判明している範囲で伝えるものでした。

　その3日後の9月28日、第2報では、不正アクセスを受けたシステムに保存されていた一部の会員情報が、第三者に取得されたことを確認したと発表。漏えいしたアカウント数を約660万件としました。

　ここでいう660万件は、660万人の被害者が確認されたという意味ではありません。公表上の単位は「アカウント数」です。対象には、退会済みの人や入会手続きを完了していない人、法人向けサービスの会員なども含まれています。

　さらに翌29日の第3報では、運転免許証画像などの本人確認書類の漏えいが確認されたアカウント数を約160万件と公表し、該当する会員への個別メールによる案内を開始しました。「約660万件」と「約160万件」。同じ事故でも、何を数えているのかによって数字の意味は異なります。企業はその単位と対象範囲を正確に説明する必要があります。

タイムズカーのWebサイト