震度6

Tabiq

株式会社リクリエ

本人確認書類106万人

閲覧可能状態パスポート画像 / 運転免許証画像設定不備・誤公開 · 封じ込め済

監視モニターでこの事案を見る ▶
公表
2026/06/29
検知
2026/05/13
検知から公表まで
47日
確度
閲覧可能状態
種別
設定不備・誤公開
状況
封じ込め済
対策投資
対策のみ・金額なし
補償
発表なし・未定

漏えいした情報

基本属性ご利用者様のお顔の写真（画像）
通信・コンテンツご署名画像（画像）
本人確認書類パスポートや運転免許証等の本人確認書類の画像（画像）、パスポートや運転免許証等の本人確認書類の画像（画像）

規模

  • 本人確認書類画像等が閲覧可能だった利用者 106万人

対象者

  • ご利用者様（宿泊施設の利用者）

原因

当社が利用するクラウドストレージ（Amazon S3）の設定の不備

時系列

  1. 公開状態の開始
  2. 検知・発覚
  3. 公開状態の解消
  4. 外部からのアクセスを遮断
  5. 個人情報保護委員会へ速報
  6. 個人情報保護委員会へ確報
  7. 第一報
  8. 2026-07スライス調査時に更新を確認

対応

  • 侵入経路遮断
  • 権限見直し
  • 監視強化
  • 検知ロジック導入
  • 脆弱性診断
  • 変更手順見直し

IAMによるアクセス制御の実装、CSPMと脅威検知による監視強化、脆弱性診断の実施、社内のセキュリティレビュー手順の改善

あなたがすべきこと

  1. 本人確認書類の番号は一生変えられません。CIC・JICCなどで信用情報を開示し、身に覚えのない契約やローンがないか確認する
  2. 信用情報機関に「本人申告」を登録すると、審査でなりすまし申込みが慎重に確認される。より強い「貸付自粛制度」は自分も借りられなくなり、最初の3か月は撤回できない。どちらも口座開設は止められない
  3. 会社からの通知メール・公式発表で、自分が対象か確認する

事業者への教訓

  1. 共有・キャッシュ設定の変更は二人で確認し、公開前にテストする。クラウド設定は自動監視（CSPM）
  2. 本人確認書類・口座情報は保存しない。確認後に破棄するか外部の本人確認サービスに任せる
  3. 個人情報保護委員会へ速報（3〜5日）と確報（30日、不正目的は60日）
  4. レッドチーム演習とAIによる防御強化を行い、その投資額を公表する

出典