「660万件流出」判明の3日前、タイムズカーは何を伝えた？ 企業の命運を分ける「初報の鉄則」（3/5 ページ）

[大杉春子，ITmedia]

「1.74億件流出」でも、何が流出したかで意味は変わる

　数字の伝え方という点では、画像共有サービス「Gyazo」の事例も示唆に富んでいます。運営会社のHelpfeelは9月16日、不正アクセスによってユーザーに関するデータ約2362万件などが流出したと公表しました。

　その後、9月25日の第2報では、過去に削除された画像に関するメタデータ約1億7400万件の流出を新たに確認したと発表しました。ただし、これは削除済みの画像ファイルそのものが1億7400万件流出したという意味ではありません。

　同社は、流出が確認されたのは画像に関するメタデータであり、今回新たに確認された流出に削除済みの画像ファイル自体は含まれないと説明しています。

　また、同社は一時停止していたGyazoのサービスを9月27日に再開したと公表しています。数字が大きいほど、情報の種類や意味を丁寧に伝える必要があります。「ユーザーに関するデータ」と「利用者の人数」は同じではありません。「画像に関するメタデータ」と「画像ファイル」も違います。

　数字を小さく見せようとする必要はありません。しかし、大きく見せることにも意味はありません。受け手がリスクを正しく理解できるようにすることが重要です。

企業が伝えるべきなのは「おわび」だけではない

　10月15日には、ソースネクストが会員情報への不正アクセスを公表しました。同社によると、10月13日に不正アクセスを確認し、同日中に封じ込めを完了。その後の調査で、10月9日から不正アクセスがあり、会員情報取得APIが不正に利用されていたことが判明したといいます。

　公表資料では、流出した可能性のある情報の対象件数を2251万9960件としました。ここでも、対象件数の全てについて、列挙された全項目が流出したと発表しているわけではありません。同社は登録状況によって対象項目が異なることを明記しています。その上で、同社は利用者に対してパスワードの再設定を求め、他のサービスでも同じパスワードを使用している場合は変更するよう呼びかけました。不審なメールやSMSへの注意も促し、対象者への個別メールや専用窓口について案内しました。

　こうした情報は、単なるおわびの付属物ではありません。利用者が二次被害を防ぐための重要な案内です。

　一方、10月8日に第一興商が公表したのは、委託先企業の従業員端末がマルウェアに感染し、顧客情報が漏えいしたおそれがあるという事案でした。同社は当時、実際に外部へ漏えいした事実は確認されていないと説明しています。

　委託先で発生した事故であっても、顧客から見れば、自分の情報を預けた企業からの説明が必要になります。委託先に調査を任せることと、顧客への説明責任を果たすことは別問題です。事故の発生場所にかかわらず、顧客への連絡、問い合わせ対応、続報の発信について、誰が責任を持つのかを明確にしておきたいところです。

10月15日には、ソースネクストが会員情報への不正アクセスを公表した（同社のトップページ）