「660万件流出」判明の3日前、タイムズカーは何を伝えた？ 企業の命運を分ける「初報の鉄則」（2/5 ページ）

タイムズカーの約660万件アカウント流出をはじめ大規模情報漏えいが相次ぐ中、全容判明前の「初報」の出し方が企業の信頼を大きく左右している。調査完了を待って公表を遅らせるリスクや「不正利用は確認されていない」という常套句の落とし穴を指摘。法令対応の「法律の時計」と二次被害を防ぐ「顧客の時計」を両立させ、不確実な状況でも顧客の不安を減らす危機管理広報の鉄則を最新事例から解き明かす。

[大杉春子，ITmedia]

初報は「全てが分かった報告書」でなくてもよい

　一連の発表から考えたいのは、企業が情報を公表するタイミングです。サイバー攻撃を受けた直後は、原因も、被害範囲も、漏えいした情報の種類も確定していないことが多いものです。

　システム担当者は侵入経路の遮断と調査に追われます。法務部門は事実関係を精査し、広報部門は問い合わせへの対応を迫られます。経営層は事業への影響を判断しなければなりません。

　そのような状況では「全てが分かってから発表したい」という心理が働きやすくなります。しかし、個人情報が悪用される可能性があるなら、利用者にとっては調査の完了を待てない場合があります。

　不審なメールに注意すべきなのか。パスワードを変更すべきなのか。サービスは利用してよいのか。自分が対象者かどうか、どこで確認できるのか。こうした疑問に答える情報は、被害の全容が分からなくても発信できます。重要なのは、確認できた事実と、まだ確認できていない事項を混同しないことです。

　「不正アクセスを確認した」「個人情報が漏えいした可能性がある」「現時点で不正利用は確認されていない」は、それぞれ意味が異なります。特に「不正利用は確認されていない」という表現を、「安全が確認された」と受け取らせてはいけません。調査時点の状況を示す言葉であって、今後の被害が発生しないという保証ではないからです。

続報では「新たに分かったこと」と「生活への影響」を伝える

　北海道を中心にコンビニエンスストアを展開するセイコーマートも、9月29日にアプリへの不正アクセスを公表しました。

　同社の第1報では、会員情報が漏えいした可能性を知らせる一方、パスワード情報は漏えいしていないと説明しました。同日の第2報では、購買履歴は漏えいしていないことを追加で説明。安全性を検証するために一部のログイン機能を停止することや、9月末に失効するポイントの有効期限を1カ月延長することも発表しました。

　そして10月5日には、アプリ・Web上での新規入会、会員情報の閲覧・変更、登録カードの変更機能を終了すると発表しました。手続きは店舗や専用フォームで受け付け、同社側で変更する方式に切り替えています。

　ここで注目したいのは、件数の更新だけではありません。ログインできない間はどうすればよいのか。ポイントは失効してしまうのか。自分の情報は対象なのか。

　同社の発表には、そうした利用者の具体的な不便に関する情報が含まれています。危機管理広報は、事故について説明するだけでは足りません。事故によって生じた顧客の不安や不便を把握し、それを減らすための情報を届ける役割もあります。