電話番号の流出が起きる背景
企業のデータベースへの不正アクセスや、内部関係者による情報持ち出しにより、顧客の電話番号を含む個人情報が大量に流出する事件が繰り返し起きています。個人情報保護委員会が公表した処理件数によると、漏えい等事案の報告は 2023 年度に 7,075 件、2022 年度に 4,217 件でした。1 件で数百万件規模に及ぶ事案も公表されています。
流出した電話番号は、迷惑電話や詐欺の勧誘先リストに使われることがあります。データが第三者へ渡ったり、地下市場で取引されたりした場合、一つの番号が複数の相手に共有されることになります。
流出の確認方法
企業からの通知
個人情報保護法第 26 条は、個人の権利利益を害するおそれが大きい漏えい等が生じたときに、企業が個人情報保護委員会へ報告し、本人へ通知することを義務付けています (2022 年の改正で導入)。個人情報保護委員会は報告が必要な事態として、要配慮個人情報が含まれる場合、クレジットカード番号のように不正利用で財産的被害が生じるおそれがある場合、不正アクセスなど不正の目的による行為が疑われる場合、対象となる本人の数が 1,000 人を超える場合を挙げています。メールや書面で通知が届いた場合は、内容を確認し、企業が案内する対応手順に従ってください。
流出確認サービスの利用
漏えい照会サービスの多くは、メールアドレスを入力して過去の漏えい事案に含まれていたかを調べる仕組みです。よく使われる Have I Been Pwned もメールアドレスとドメインを対象としているため、電話番号が気になる場合は、その番号と一緒に登録していたメールアドレスから確認するのが現実的です。セキュリティソフトの中には流出情報の監視機能を備えたものもありますが、監視対象となる情報の種類は製品ごとに異なるため、電話番号が含まれるかどうかは契約内容で確認してください。
迷惑電話の急増
突然迷惑電話やスパム SMS が増加した場合は、電話番号が流出している可能性があります。出んわなどの電話番号検索サービスで着信番号を検索し、同様の報告がないか確認しましょう。短期間に複数の異なる番号から営業電話や詐欺電話がかかってくる場合は、番号リストが出回っていることを疑う手がかりになります。
被害を最小限に抑える手順
電話番号の流出が確認された場合、以下の手順で被害を最小限に抑えてください。優先度の高い対策から順に実施することが重要です。
- SMS 認証を見直す: 流出した番号で SMS 認証を設定しているサービスを確認し、認証アプリ (Google Authenticator、Microsoft Authenticator など) に切り替えてください。特に金融機関やメールアカウントは最優先で対応しましょう。
- 着信拒否設定を強化する: 迷惑電話フィルターアプリを導入し、不審な番号を自動ブロックする設定を行います。通信事業者が提供する迷惑電話対策サービスも併用すると効果的です。
- 不審な電話やメッセージに応答しない: 流出した番号を使った詐欺電話やフィッシング SMS に注意してください。知らない番号からの着信には出ず、不審な SMS のリンクは絶対にタップしないでください。
- 関連するパスワードを変更する: 流出した情報に電話番号以外の個人情報 (メールアドレス、パスワードなど) が含まれている場合は、関連するすべてのアカウントのパスワードを変更してください。
- 必要に応じて番号を変更する: 被害が深刻な場合は通信事業者に相談し、電話番号の変更を検討してください。番号変更時は、金融機関や公的機関など、旧番号を登録しているすべてのサービスの更新を忘れずに行いましょう。
企業への対応と権利行使
開示請求と利用停止請求
個人情報保護法第 35 条は、利用する必要がなくなった場合や、本人の権利 / 正当な利益が害されるおそれがある場合に、保有個人データの利用停止 / 消去を請求できると定めています。請求に理由があると判明したときは、企業は必要な限度で遅滞なく対応し、その結果を本人へ通知します。同法第 33 条では、自分が識別される保有個人データの開示を請求できます。企業の対応に納得できない場合は、個人情報保護委員会の相談窓口に問い合わせる方法があります。
損害賠償の検討
情報漏洩により具体的な被害 (詐欺被害、精神的苦痛など) が発生した場合は、企業に対する損害賠償請求を検討できます。認められる金額は、漏洩した情報の内容や実際に生じた被害によって判断されるため、一律の相場はありません。請求を考えるときは、企業から届いた通知や不審な着信の記録を残したうえで、弁護士に相談してください。
情報漏洩の種類と電話番号への影響
外部攻撃による漏洩
サイバー攻撃による漏洩では、SQL インジェクション、ランサムウェア、フィッシング攻撃などの手法で企業のデータベースに不正アクセスし、顧客の電話番号を含む個人情報が窃取されます。一度に大量のデータが持ち去られるため、影響を受ける人数が広範囲に及びやすい類型です。
内部犯行による漏洩
従業員や業務委託先の関係者が、顧客データを不正に持ち出すケースも起きています。名簿業者への売却を目的とした持ち出しや、退職時のデータコピーなどが典型的な手口です。2023 年 10 月に公表された事案では、通信事業者グループのコールセンターシステムの運用保守に従事していた元派遣社員が、システム管理者アカウントを悪用して顧客データの保管サーバーにアクセスし、氏名 / 住所 / 電話番号などを含む約 900 万件が不正に持ち出されていました。内部犯行は正規の権限の範囲内で行われるため検知が難しく、発覚までに長期間を要する場合があります。
設定ミスによる漏洩
クラウドストレージのアクセス権限設定ミスや、Web サーバーの設定不備により、顧客データが意図せずインターネット上に公開されるケースもあります。技術的な攻撃を受けたわけではなく、単純な設定ミスが原因であるため、企業側の管理体制の不備が問われます。
流出後の長期的な影響と対策
電話番号の流出は、短期的な迷惑電話の増加だけでなく、長期的なリスクをもたらします。いったん第三者の手に渡った番号は回収できないため、流出から時間が経ってから勧誘や詐欺の電話がかかってくることもあります。
ソーシャルエンジニアリングへの悪用
流出した電話番号は、ソーシャルエンジニアリング攻撃の起点として利用されます。攻撃者は電話番号と併せて流出した他の個人情報 (氏名、メールアドレス、住所など) を組み合わせ、通信事業者や金融機関のカスタマーサポートに対して本人になりすまします。SIM スワップ攻撃やアカウント乗っ取りの前段階として、流出した電話番号が活用されるのです。
継続的なモニタリングの重要性
流出が確認された後も、継続的なモニタリングが重要です。Have I Been Pwned のメール通知機能を有効にしておくと、登録したメールアドレスが新たな漏洩に含まれた際に知らせを受け取れます。また、金融機関の取引通知を有効にし、身に覚えのない取引がないか定期的に確認する習慣をつけましょう。クレジットカードの利用明細も毎月確認し、不審な請求がないかチェックしてください。
再発防止のための対策
電話番号の流出リスクを将来にわたって軽減するために、以下の対策を日常的に実践してください。
- 登録先を定期的に見直す: 電話番号を登録しているサービスを棚卸しし、不要なサービスからは退会しましょう。電話番号のプライバシー保護の基本として、番号の公開範囲を最小限に抑えることが重要です。
- サブ回線を活用する: メインの電話番号とは別に、050 番号 (IP 電話) や格安 SIM のサブ回線を用意し、ウェブサービスの登録にはサブ番号を使用してください。
- プライバシーポリシーを確認する: 新規サービスへの登録時は、個人情報の取り扱いが適切な事業者のみを利用してください。
- 流出監視サービスを利用する: 利用中のセキュリティソフトに流出情報の監視機能があれば有効にし、早期に気づける体制を整えましょう。
まとめ - 迅速な対応で被害を最小化
情報漏洩による電話番号の流出は、個人の努力だけでは完全に防げません。しかし、流出を早期に検知し、SMS 認証の切り替えや着信拒否の強化を迅速に行えば、被害を抑えやすくなります。日頃からサブ回線の活用や登録先の見直しを実践し、万が一の流出に備えておきましょう。