不正アクセスによる、データ流出を古川俊治デジタル相が「自分の情報は自分で守るという意識を持って被害防止に向けた取り組みに協力してほしい」

直近の流失事件では、パスワードの使いまわしをしていなくても、多要素認証を行っていても、自分が不審なメールやSNSに注意していても、流失事件になっている

そして、情報を抜き取られている

古川俊治デジタル相が言うのは、まず企業に情報収集を最小限にするように求めるのが先なのでは？

メールや電話番号での、認証をやっている所は、田立にやめるようにして、アプリだけで終結するようにする。その上で、誕生日などの情報を強制で求めないようにする

まずは、集める方が対策を行う

その対策の指標を示すのが古川俊治デジタル相の役割ではないのか？

なぜ、サービスを利用するほうが（利用規約を読み）（プライバs－ポリシーにも承諾しるのに）出来ない宅柵のために頭を使う必要があるのか？

古川俊治デジタル相の言い方で対策をとるとしたら、登録情報をでたらめな物を入力するくらいしか思いつかない。

そんなので良いのか？

ご指摘のとおり、近年の大規模な不正アクセスやデータ流出事件において、ユーザー側がどれほどパスワードの使い回しを避け、多要素認証（MFA）を導入し、不審なメールに注意を払っていたとしても、サービス提供側の脆弱性やデータ管理・収集のあり方に起因して情報が流出するケースが後を絶ちません。

個人の自衛策（「自分の情報は自分で守る」）にはどうしても限界があり、その点を指摘した上で「なぜ利用者がそこまで防衛の負担を負わなければならないのか」「企業側や政府が果たすべき責任・対策のガイドラインを示すのが先ではないか」という疑問や憤りは、非常に本質的かつ多くの利用者が感じているところです。

1. ユーザーが指摘する「企業側・政府が先導すべき対策」の方向性

おっしゃるように、根本的なリスクを減らすためには、サービス側のアプローチの見直しが不可欠です。

• データ収集の最小限化（データミニマイゼーション）： そもそも「持っていなければ漏洩しようがない」という原則に基づき、サービス運営に本当に必要最低限の情報（生年月日や不要な個人情報など）の取得を原則禁止、または任意にすべきという指摘は、プライバシー保護の観点からも正論です。
• 認証方式のセキュリティ向上と過渡期からの脱却： SMS（ショートメッセージ）や音声通話による認証は、SIMスワッピングやSS7脆弱性などのリスクが指摘されています。より強固なアプリベースの二段階認証やパスキー（FIDO2）への移行を義務付ける、あるいはデフォルト化するインフラ整備を、事業者や政府が強力にリードすべきという意見も説得力があります。

2. 「登録情報をでたらめにする」という自衛策の是非

「古川デジタル相の言い方で対策をとるとしたら、登録情報をでたらめな物を入力するくらいしか思いつかない。そんなので良いのか？」というご懸念についてですが、実務的な観点と法的な観点からいくつか留意すべき点があります。

• アカウントの復旧・本人確認上のリスク： 生年月日や氏名などに架空の情報を登録してしまうと、万が一アカウントのロックアウトやパスワードリセットが必要になった際、本人確認ができず正規の利用者自身がアカウントに二度とアクセスできなくなるという致命的なデメリットが発生します。
• 利用規約や法的リスク： 多くのサービスの利用規約では「正確な情報の登録」が義務付けられています。実害が生じた際に規約違反を問われるリスクや、決済を伴うサービスの場合に本人確認が通らずトラブルになる可能性があります。

そのため、「でたらめを入力する」ことは根本的な解決にならないどころか、かえって利用者の利便性や安全性を損なうジレンマを孕んでいます。だからこそ、「利用者がそんな知恵やリスクを絞らなければならない現状自体がおかしい」というご批判の矛先は極めて真っ当です。

3. 本来求められるアプローチ

個人情報保護やサイバーセキュリティの議論において、責任の所在を「ユーザーの自己責任論」だけに回収してしまうと、企業のセキュリティ投資やシステム改善へのインセンティブが損なわれてしまいます。

政府やデジタル庁に求められるのは、「気をつけてください」という精神論の呼びかけ以上に、以下のような強力な規制や実効性のあるガイドラインの提示です。

1. 企業に対する、不要な個人情報の保持制限や、流出時のペナルティ強化。
2. 安全性の低い認証方式（SMS認証など）から、フィッシング耐性の高い認証（パスキー等）への移行を加速させるための具体的なロードマップの提示。

利用者が過大な防衛コストを払わなくても安全にサービスを使える環境を整えることこそが、本来の行政や事業者の役割であるという視点は、今後のデジタル社会のあり方を考える上で非常に重要です。

この問題に関して、特に懸念されている具体的なサービスや、ご自身が普段行っている対策で歯がゆいと感じている部分は他にありますか？

でたらめな情報ですが、

部屋番号を架空な番号にする（１０階建てのマンションに住んでいるのなら、1105など）

一軒家なら、住所の末尾を変更する（住所で、丁目が存在しない町名にして、マンションではないのに、マンションに思えるような情報にする。コープ東103とか、自分の部屋が1回の玄関から３つめなら覚えていられる）

電話番号なら、頭の３桁は固定であとは逆から入力するなどで対応ができる

メールアドレスは、私のようにドメインを複数取得している人間なら都度メールを作成しても良いだろう。使い捨てにして、消した後で、管理者にメールが転送させるようにしておけば、どこから漏れたメールなのかわかる（実際にやったことがあるが、結構なシステムでメールが流出していた）

ご自身で実際にドメインを複数管理され、エイリアスや転送の仕組みを使って「どこのサービスから情報が流出したか（スパムが届くようになったか）」を検証されたというのは、非常に高度で実用的なセキュリティ対策ですね。

実際にどのような情報や仕組みでハッキングや流出が起きているのかを突き止める上で、そのアプローチにはいくつかの興味深いメリットと、実務的な注意点があります。

1. ユーザーが実践している巧妙な自衛策の仕組みと狙い

おっしゃるような工夫は、単に「でたらめを入力する」のとは異なり、構造的な意図を持った防衛策になっています。

• メールアドレスのユニーク化（＋ドメイン単位の追跡）： サービスごとに異なるアドレス（例: service_name@yourdomain.com など）を使う手法は、セキュリティ業界でも「Plus addressing」や「Catch-all ＋ 個別エイリアス」として推奨される手法の一つです。これにより、

• どの企業からデータベースが流出したか（あるいは不審な業者に横流しされたか）が一目で特定できる

• 特定の漏洩元アドレスに届くスパムをその場で遮断（ブラックリスト化）できる という大きなメリットがあります。実際に試されて「結構なシステムから流出していた」という結果が出たのは、企業のセキュリティや管理体制のずさんさを暴く上で強烈な事実だと思います。

• 住所や部屋番号の微小な改変（ダミー情報）： 「10階建てなのに11階」「実在しない丁目や架空の部屋番号」にする手法は、郵便物が届く必要のないWEBサービス（完全デジタルなアカウントなど）であれば、DMやDMに便乗したダイレクト詐欺、あるいはピンポイントの空き巣狙いなどの物理的リスクから身を守る防衛策になります。また、企業データベースがハッキングされた際、そこに記録された「不自然な住所」で、どの企業のデータがダークウェブ等に出回ったかを逆引きする「カナリア罠（カナリア・トラップ）」のような効果も期待できます。

2. 直面する「ジレンマ」と現実的なリスク

一方で、こうした自衛策を徹底しようとすると、システム側の仕様や現実の運用においてどうしても壁にぶつかります。

• 物理的な配送を伴うサービスでの破綻： 通販サイトやチケット配送、あるいは重要な書類が届くサービスの場合、住所や電話番号を偽ってしまうと、自分自身が商品やチケットを受け取れなくなるという致命的な問題が起きます。そのため、この防衛策が使えるのは「実態として物理配送を伴わないWEBサービス」に限定されがちです。
• 本人確認やパスワードリセットの壁： 電話番号を「逆から入力する」などの加工をした場合、SMS認証が必要な場面や、万が一の本人確認の際に、システムが弾く正規の番号と一致せず、自分自身が締め出されるリスクが高まります。

本来のあり方とのギャップ

企業が「必要以上に個人情報を集め、しかもそれをずさんな管理で流出させる」という構造が変わらない限り、利用者がこのような「知恵熱が出るようなダミー情報や追跡システム」を駆使して身を守らなければならない現状は、やはり異常と言わざるを得ません。

「どこから漏れたか」を個人が検証できてしまう現状に対して、企業側がもっと「持たないセキュリティ（データミニマイゼーション）」に舵を切るべきだというご意見は、まさにその通りであり、セキュリティの本質を突いています。

こうした流出元を特定する実験の中で、特に「ここが漏らしているのか」と驚いたような、印象に残っているケースなどはありますか？

参考URL https://www.jiji.com/jc/article?k=2026100600559&g=eco