前回は「臨床研究に関する倫理指針」の改正について取り上げた。改正倫理指針は，2009年4月1日より施行予定である。「厚生労働科学研究に関する指針」のホームページを見れば分かるように，個人情報保護法の施行時期をはさんで，様々な医療科学研究に関する指針の新設／改正が行われている。これらの指針に基づいて実施された研究から生まれた成果について，個人情報を提供した患者や家族はどこまでフィードバックを受けているだろうか。インフォームドコンセントを得やすくするためにも，一般向けに研究成果の情報開示を行っていくことが重要だ。

　さて今回は，フィッシング詐欺について考えてみたい。

フィッシング詐欺の標的にされ続けるネットバンキング

　2008年7月30日，警視庁ハイテク犯罪対策総合センターと王子警察署が不正アクセス禁止法違反と電子計算機使用詐欺の疑いで松山市の男性を逮捕したことを，新聞各紙が報道した。報道によると，容疑者はイーバンク銀行を装って，顧客のID，パスワード，暗証番号の入力を促す虚偽のメールを不特定多数に送信し，2007年12月10日に横浜市の女性の口座から39万円をだまし取った疑いがあるという（「フィッシング詐欺により不正出金を行なった容疑者逮捕の報道について」参照）。これ以外にも，2008年3月26日には，同様の手口でゆうちょ銀行を装い，東京都の男性の口座から119万円をだまし取るなど，2007年10月から2008年4月の間に，少なくとも21人の顧客から総額約1300万円をだまし取っていたという。

　第10回で触れたように，日本国内でフィッシング被害が見られるようになったのは2004年秋ころである。その回では，イーバンク銀行からの通知メールを装ってログインパスワードや暗証番号などを盗もうとするフィッシング詐欺（未遂）が確認されたケースを取り上げた。イーバンク銀行はその後，「IP制限サービス」や「セキュリティ通知メール」によるワンタイム認証サービス，本人認証方法の変更など，様々なセキュリティ対策を講じているが，フィッシング詐欺の手口も多様化，巧妙化しているのが実情だ。

「まさか自分だけは」と思うユーザーほど情報漏えいリスクは高い

　第77回で，フィッシングの標的になりやすいクレジットカード会社，EC／オークションサイト運営事業者，セキュリティ事業者，関係省庁などの協力により設立された「フィッシング対策協議会」を紹介したことがある。

　同協議会は，2008年2月にインターネット利用者を対象とした｢フィッシングに関するユーザ意識調査｣を実施し，その調査結果を7月30日に公表している（「フィッシングに関するユーザ意識調査 2008について」参照）。報告書を見ると，全体的にフィッシング詐欺の手口の認識度は高く，フィッシングメールを受信した経験のある回答者が増加している。にもかかわらず，フィッシング対策について普段気をつけている人（46.3％）とそうでない人（40.8％）の二極化傾向が顕著になっている。

　個人情報管理の現場に関わっている方々ならお分かりだろうが，フィッシングの手口を知りながら特に対策を講じていないユーザーに対する教育・啓蒙活動は大変だ。ファイル交換ソフトを介した情報流失，パソコンや磁気記録媒体の盗難／紛失にも共通して言えることだが，「まさか自分だけは」と思っているユーザーの方が個人情報漏えいのリスクは高く，事後対策も手間を要することが多い。

　本来であれば，インターネットバンキングの利便性とその陰に潜んでいるリスクのバランスを考えながら各ユーザーが責任を持って行動するのが理想だが，なかなかそうはいかないのが現実である。

　次回は，不正アクセスに起因するECサイトの個人情報漏えいを取り上げでみたい。


→「個人情報漏えい事件を斬る」の記事一覧へ

■笹原 英司 (ささはら えいじ)

【略歴】
IDC Japan ITスペンディングリサーチマネージャー。中堅中小企業（SMB）から大企業，公共部門まで，国内のIT市場動向全般をテーマとして取り組んでいる。医薬学博士

【関連URL】
IDC JapanのWebサイトhttp://www.idcjapan.co.jp/