退会した顧客の情報も漏れる？タイムズカーの公表から考える保存データの棚卸し

タイムズカーの不正アクセスに関する公表資料（2026年9月28日第2報時点）によると、漏えいした対象にはタイムズカー会員および退会済みのお客様が含まれていました。これは、たとえ現在は取引がない相手であっても、システム内にデータが残っていれば、攻撃を受けた際に一緒に盗み出されてしまうことを意味します。

まず最初に取り組むべきことは、自社が「誰の、どのような情報を、どこに、いつまで」保存しているのかをすべて書き出すことです。不要なデータを持ち続けることは、守るべき対象を増やし、万が一の際の被害を拡大させる原因となります。

退会した顧客の情報がなぜ漏えい対象になるのか

サービス終了後もデータが残るリスク

多くの企業では、顧客との契約が終了したり、サービスの利用を停止したりした後も、過去の履歴を確認するためや、税務上の理由などで顧客データをそのまま残しているケースがあります。しかし、タイムズカーの事例が示す通り、不正アクセスを受けた際には「現在利用している人」と「過去に利用していた人」の区別なく、システム内に存在するデータがまとめて取得される恐れがあります。

例えば、過去に退会したお客様の氏名や住所、電話番号が、現在も自社のサーバー内に残っている場合、そのデータは攻撃者にとっての「獲物」になります。データが残っている限り、情報はリスクにさらされ続けます。管理対象を現在の顧客に限定し、不要な情報は物理的に削除することが防御の第一歩です。

漏えいした情報の種類と被害の広がり

漏えいする情報は、単なる名前やメールアドレスにとどまりません。タイムズカーの事例では、住所、生年月日、電話番号に加え、運転免許情報や本人確認書類の画像といった、極めて機密性の高い情報も含まれていました。これらの情報が組み合わさると、なりすましによる不正利用や、巧妙な詐欺メールの標的になるなど、被害が深刻化する可能性があります。

また、パスワードそのものが読み取れる状態で漏えいした事実は確認されていませんが、メールアドレスやIDなどの情報が漏れることで、他のサービスでのパスワード使い回しをしている場合に、別のサービスへの攻撃に悪用される二次被害が懸念されます。自社が扱っているデータの中に、本人確認書類のコピーや、決済に直結するような情報が含まれていないか、改めて確認が必要です。

報告義務が発生する基準を知る

個人情報の漏えいが発生した際、すべてのケースで直ちに公的な報告が必要になるわけではありませんが、個人情報保護法等で定められた一定の条件を満たす場合は報告が求められます。

たとえば、財産的被害のおそれがある情報（例：クレジットカード番号等）が漏えいした場合や、漏えい対象者が1,000人を超える規模になる可能性がある場合は、個人情報保護委員会への報告が必要となることがあります。具体的な要件は最新のガイドラインや委員会の指針を確認し、必要に応じて専門家に相談してください。

健康診断の結果などの「要配慮個人情報（不当な差別や偏見につながる恐れがある特別な情報）」が含まれる場合も、個人情報保護法等に基づき報告対象となることがあります。自社で取り扱う情報の区分を事前に整理し、どの情報がどの区分に該当するかを把握しておくことが、万が一の際の迅速な対応につながります。

自社のデータを整理する棚卸しの進め方

保管しているデータの全容を把握する

棚卸しの第一歩は、自社がどのようなデータを、どこに格納しているかを可視化することです。顧客管理システム（CRM）だけでなく、担当者のパソコン内にあるExcelファイル、メールの添付ファイル、あるいは紙の書類として保管されているものまで、漏れなくリストアップしてください。

具体的には、「データの種類」「利用目的」「保管場所」「管理責任者」を項目に含めた一覧表を作成します。例えば、「お問い合わせフォームから届いたメール履歴が、担当者のPCに保存されたままになっていないか」といった視点が重要です。データの所在が不明確な状態では、適切な削除ルールを適用することができません。

データの保管期限と削除ルールを決める

次に、それぞれのデータに対して「いつまで保持するか」という期限を設定します。利用目的が終了したデータは、速やかに削除するルールを基本とします。ただし、法令等で保存が義務付けられている期間がある場合は、その規定に従う必要があります。

たとえば、キャンペーンの応募履歴はキャンペーン終了後一定期間（例：1年）で削除する方針を設定することがありますが、実際の保存期間は該当法令や業界ガイドラインを確認してください。退会した顧客の情報についても、法的義務や業務上の必要性に応じた適切な期間を設定し、不要となった時点で削除します。

この際、税法などで保存が義務付けられている書類（領収書や契約書など）と、保存義務のない顧客属性情報（興味関心や行動履歴など）を明確に区別することが重要です。目的を果たしたデータを「なんとなく」残し続ける習慣を、組織として断ち切る必要があります。

削除作業をルーチン化して実行する

ルールを決めるだけでは不十分です。決めたルールに基づいて、実際にデータを消去する作業を定期的な業務（ルーチン）として組み込みます。例えば「半年に一度、棚卸し月を決めて不要なデータを一括削除する」といった運用です。

削除を行う際は、単にファイルをゴミ箱に入れるだけでなく、復元できない形で完全に消去されているか、バックアップデータからも適切に削除されているかを確認する手順が必要です。作業が終わった後は、「いつ、誰が、どのデータを削除したか」という記録を残しておくことで、管理体制の透明性を確保できます。

外部委託先やクラウド利用時の注意点

委託先の管理体制をどう確認するか

自社のデータを外部のシステム会社やクラウドサービスに預けている場合、その管理責任を「丸投げ」にすることはできません。データの漏えいが発生した際、委託先での事故であっても、自社が責任を問われるケースがあるからです。

委託先に対しては、データの保管期間や削除の手順がどのように定められているかを確認してください。例えば、契約書の中に「利用目的を達成した後は速やかにデータを消去する」という条項が含まれているか、また、実際に削除が行われたことを証明する報告を受けられるか、といった点を確認することが重要です。

クラウドサービスにおける設定ミスを防ぐ

近年、クラウドサービスを利用する機会が増えていますが、設定の不備によって意図せずデータがインターネット上に公開されてしまう事例も報告されています。これは、システムの不具合ではなく、利用側の「設定ミス」が原因であることが少なくありません。

例えば、本来はログインが必要な場所に、設定を誤って誰でも閲覧できる状態でデータを置いてしまうといったケースです。クラウドを利用する場合は、アクセス権限が適切に設定されているか、外部から直接見られる状態になっていないかを、定期的に専門家や担当者がチェックする仕組みを整えておく必要があります。

責任の境界線を明確にする

自社と委託先、あるいはクラウド事業者との間で、「どこまでが自社の責任で、どこからが相手の責任か」という境界線（責任分界点）を明確にしておくことが、トラブル防止に繋がります。

例えば、「データの入力と削除の指示は自社が行うが、サーバーの物理的な管理とセキュリティ対策は事業者が行う」といった役割分担です。この境界線が曖昧だと、いざという時に「どちらが対応すべきか」で判断が遅れ、被害を拡大させる原因となります。

契約段階で、データのライフサイクル（取得から廃棄まで）の責任を誰が負うのかを、具体的な業務フローとともに確認しておきましょう。

万が一の漏えい発生時に備えた判断基準

異常を検知した際の初動対応を準備する

不正アクセスの兆候や、データの不審な動きに気づいた際、パニックにならずに動けるよう、初動のフローを決めておきましょう。大切なのは、被害を最小限に食い止めるための「遮断」と「調査」の判断です。

タイムズカーの事例でも、不正アクセスを検知した直後に経路の遮断などの対応が行われています。自社においても、「不審な通信を見つけたら、まずどのネットワークを切り離すか」「誰に報告し、どの外部機関に相談するか」をあらかじめマニュアル化しておくことが求められます。

現場の担当者が、独断で判断を下すのではなく、あらかじめ決められた手順に従える体制を作っておくことが重要です。

専門家への相談タイミングを見極める

情報漏えいの疑いが生じた際、自社だけで解決しようとするのは非常に困難です。技術的な調査（フォレンジック調査といいます）や、法的な判断、関係各所への報告が必要になるため、早い段階で外部の専門家へ相談する準備をしておきましょう。

「どの程度の漏えいなのか」「法的義務が生じるのか」といった判断は、専門的な知見が必要です。たとえば、個人情報保護委員会への報告要件に該当するかどうか、警察への相談が必要かどうかは、状況を整理した上で速やかに専門家へ確認する姿勢が大切です。

自社の現状を整理して対策を検討する

最後に、これまでの内容を踏まえて、自社のデータ管理が現在どのような状態にあるかを整理してみましょう。まずは、現在保管しているデータのリストアップから始めるのが現実的です。

「退会したお客様のデータが、今もサーバーの中に残っていないか？」「データの削除ルールは、現場の担当者にまで浸透しているか？」といった問いに対し、自信を持って答えられるでしょうか。もし不明な点が多い場合は、まずは社内のデータ管理状況を診断し、専門家への相談や、管理体制の見直しを検討するステップに進むことをお勧めします。