こんにちは。高知県高知市で情報処理支援機関として企業さまに伴走支援を提供している、株式会社ICUの川島です。

先日、見覚えのないサービスから「あなたの個人データが漏えいしました」というメールが届きました。最初はフィッシングメールかな？と思いました。

送信元のドメインやヘッダー情報を調べてみると、どうやら本物の通知のようでした。ところが、そのサービスにいつ・何のために登録したのか、まったく記憶にありません。

こんなご相談を受けることがあります。

「試しに登録したクラウドサービスをそのまま放置しているのですが、大丈夫でしょうか。」

大丈夫ではありません。使っていなくても、登録した情報はサービス側に残っています。そこで漏えいが起きれば、対応を求められるのは自分です。今回、私自身がまさにこの状況です。

やるべきことは2つ。登録したサービスはその都度記録しておくことと、使わなくなったアカウントは解約することです。

放置したアカウントで何が起きるか

無料で試せるクラウドサービスは増えています。仕事で「ちょっと試してみよう」と登録して、結局そのまま使わなかった。そういう経験のある方は多いのではないでしょうか。

使わなくなったとしても、アカウントを放置していれば、登録時の名前やメールアドレス、場合によっては電話番号や会社名がそのまま残ります。サービスの運営元がサイバー攻撃を受ければ、その情報が漏れます。そのサービスをよく使っているかどうかは関係ありません。登録した時点で、情報はそのサービスに記録されるのです。

対応しようとして気づく「記録がない」問題

今回、通知を受けて対応しようとしたところ、もうひとつ困ったことが起こりました。

そのサービスのログインIDが分からない。パスワードも分からない。問い合わせフォームから連絡しましたが、本人確認に必要な情報を求められ、それすら手元にない。結局、過去のメールを遡って「登録完了」の通知を探すところから始めることになりました。

私は普段から、利用しているサービスを記録するようにしています。しかし、「ちょっと試しただけ」のそのサービスは、記録に残していませんでした。すぐ使わなくなるだろうと思い、わざわざ記録するまでもないと判断していたのだと思います。

「ちょっと試すだけだから」という緩い判断が落とし穴になることは多いです。試しであっても、登録は登録です。サービス側から見れば、どちらも同じ利用者ですから。

登録したら記録する、使わないなら解約する

対策はシンプルです。

サービスに登録したら、その場で記録する。サービス名、メールアドレス、パスワード、用途、URL、登録日。「試しに使っただけ」のものも例外にしません。毎回「これは記録するべきか」と考えるよりも、全部記録するルールにすることで登録忘れを防げます（今回、私は抜かっていましたが）。

使わないと分かった時点で、アカウントを削除する。退会手続きが面倒なサービスもありますが、面倒でも済ませておいたほうが安全です。

メールで「登録完了」や「welcome」と検索すると、忘れていたサービスが出てくるかもしれません。そのようにして、棚卸しをするのも良いと思います。

記録があれば、慌てずに済む

実は今回の私の件は、問い合わせの返事を待っている状態で解決していません。

ただ、改めて感じたのは、記録があるかないかで対応のスピードがまったく変わるということです。漏えいの通知が届いたとき、すぐにログインして状況を確認できるのと、IDすら分からず問い合わせから始めるのとでは、大きな差があります。

私自身、記録は「している側」だと思っていました。それでも今回のように登録を抜かってしまうこともあります。「例外なく全部記録するぞ」というルールにしておかないと、抜け・漏れはより多くなります。これは個人でも組織でも同じだと思います。

記録する仕組みを自分のものにしておけば、同じ通知が届いても落ち着いて対処できるはずです。
お互い、アカウントの管理には気をつけていきたいですね。