CREAVE：【重要】本人確認書類画像の第三者閲覧の可能性について（Snapmart） | Snapmart（スナップマート）公式ブログ

公表によれば、画像の保存先の設定不備は2019年3月頃から2026年10月8日まで存在し、10月7日に全社的なセキュリティ再点検の中で確認された。rocket-boys.co.jpの報道では、確認の契機は国内外のセキュリティ事案を受けた全社点検とされている [s3]。同紙は、本人確認書類の画像は提出後約1年で自動削除される仕組みだったため、個々の画像が約7年半にわたり公開され続けていたわけではないと整理している [s3]。

攻撃者側については、リークサイトへの掲載や犯行声明は報じられていない。rocket-boys.co.jpは、本件を外部からシステムへ侵入したことが確認された不正アクセスとは性質が異なる事案と位置づけている [s3]。インシデントレーダーも、原因を「設定のまちがい・公開範囲のまちがい」に分類し、侵入の入り口を画像URLの直接指定としている [s6]。

影響について、rocket-boys.co.jpは次の点を指摘している。

・画像が検索サイトなどに自動的に一覧公開されていたとの発表ではなく、URLを直接指定した場合に閲覧できる問題である [s3]。 ・2020年5月以降のログに第三者取得の記録は確認されていないが、2019年3月から2020年5月まではログが保存されていないため、第三者がアクセスしていなかったと結論づけることはできない [s3]。 ・「閲覧できる可能性があった画像」と「第三者が実際に取得したことが確認された画像」は区別して捉える必要がある [s3]。 ・影響を受けたクリエイターの総人数や画像の総件数は、10月16日付の発表で示されていない [s3]。インシデントレーダーも人数・件数を未公表とし、情報の種類は運転免許証、パスポート、健康保険証、マイナンバーカード等の画像で、漏えいは「可能性」の段階としている [s6]。

同紙によれば、メールアドレス、パスワード、銀行口座情報、作品データ、クレジットカード情報は別の管理環境にあり、本件の対象外とされる。会社は本件に伴うパスワード変更も不要と説明している [s3]。

専門家・当局に関する情報として、rocket-boys.co.jpは、個人情報保護委員会が、個人番号が漏えいして不正に用いられるおそれがあると認められる場合、本人が市区町村へ番号変更を請求できると案内していることを紹介している（番号法第7条第2項）。ただし、番号の漏えいだけで自動的に変更されるわけではない [s3]。同紙によれば、金融庁は2026年10月9日、本人確認書類の画像情報を含む漏えい事案の発生を踏まえ、金融機関に非対面本人確認の見直しやICチップを利用した確認方式への早期移行を促した [s3]。

同紙は、本人確認書類を扱う企業の点検項目として、匿名アクセスの可否、推測・共有されたURLからの閲覧、アクセス制御付きの配信方式、ログ保存期間、古い提出画像の残存状況を挙げている [s3]。審査完了後の長期保存の要否を見直し、削除時期とバックアップ側の扱いを明確にすべきだとも指摘している [s3]。CREAVEは再発防止策として、画像保存・管理方式の抜本的改修、審査完了後の速やかな削除、クラウド環境の定期点検を挙げている [s3]。

利用者向けには、本人確認書類を提出した心当たりがあるのに個別メールが届かない場合、専用フォームへ問い合わせることが勧められている [s3][s6]。また、会社は書類の再提出、口座情報、パスワード、カード情報をメールや電話で求めることはないと公表している [s3][s6]。同紙は、JICCなどの信用情報機関の本人申告制度も選択肢として紹介している。ただし、本人申告は新規契約を一律に停止する制度ではないと注記している [s3]。