運転免許証やパスポートの画像は、氏名、住所、生年月日、顔写真などを含む重要な本人確認情報です。攻撃者は、画像そのものだけを狙うのではなく、メールアカウントやクラウドストレージへの侵入、共有フォルダの探索、漏えい後の標的型フィッシングを組み合わせることがあります。

本記事では、典型的な攻撃の流れから、本人確認書類を扱う中小企業が優先して整えたい対策を考えます。

攻撃手法1：フィッシングでクラウドの認証情報を盗む

攻撃者は、クラウドストレージ、メールサービス、電子契約サービスなどを装ったメールやSMSを送り、偽のログイン画面へ誘導します。そこでID・パスワードや認証コードを入力すると、正規サービスへの不正ログインにつながるおそれがあります。

ログインに成功すると、攻撃者はメールに添付された本人確認書類、クラウド上の申込書、共有フォルダなどを検索し、画像ファイルを持ち出す可能性があります。差出人名が取引先やサービス名に見えても、本文のリンクからログインさせようとする連絡は慎重に確認する必要があります。

防ぐための対策

• メールやSMS本文のリンクからではなく、ブックマークや公式サイトからログインする。

• クラウド、メール、管理者アカウントでは多要素認証を有効にする。

• パスワードをサービスごとに分け、退職者や異動者のアカウントを速やかに無効化する。

• 認証コードやパスワードの入力を求める連絡を受けた場合は、公式窓口で確認する。

攻撃手法2：乗っ取られたアカウントで共有フォルダを探索する

攻撃者は、不正ログインしたアカウントを使い、アクセスできる範囲の共有フォルダやクラウドストレージを確認します。本人確認書類の画像が、案件フォルダ、メール添付、共有ドライブなどに混在していると、必要以上のデータが一度に持ち出されるおそれがあります。

また、マルウェア感染やランサムウェア攻撃では、端末の利用者が書き込みできる共有フォルダや同期フォルダまで影響が広がることがあります。画像を単に保存しているだけでは、持ち出しや改ざんへの備えにはなりません。

防ぐための対策

• 本人確認書類の保管場所を限定し、案件ごとの共有フォルダに無造作に置かない。

• 閲覧・ダウンロードできる人を業務上必要な担当者に絞り、定期的に権限を見直す。

• 保存データとバックアップを分け、復旧手順を定期的に確認する。

• 大量ダウンロード、通常と異なる場所からのログイン、権限変更などの通知・記録を確認できるようにする。

攻撃手法3：漏えいした情報を使った標的型フィッシング

持ち出された本人確認情報は、次の攻撃で使われる可能性があります。氏名や住所などを知っているように見せることで、本人や担当者に「更新手続き」「本人確認の再提出」「未納料金の確認」などを装った連絡を送り、さらに認証情報や送金を求める手口です。

この段階では、最初の漏えいだけで終わらせず、追加情報を取ろうとする点が特徴です。本人確認書類の画像が漏えいした可能性がある時は、関係者に対して、不審な連絡で追加情報を渡さないことを分かりやすく伝える必要があります。

被害を広げないための対策

• 不審な連絡の真偽は、表示された連絡先ではなく公式サイトの窓口で確認する。

• 誤送信や不正アクセスを把握したら、対象データ、関係アカウント、保存場所、発覚時刻を記録する。

• 社内の報告窓口を一本化し、個人の判断で初期化・削除・外部連絡を進めない。

• パスワード漏えいの可能性がある場合は変更し、同じパスワードを使う他サービスも確認する。

優先順位は「認証」「権限」「保管場所」

本人確認書類を守る対策は、高価な製品の導入だけではありません。第一に不正ログインを防ぐ認証、第二に侵入後の閲覧範囲を小さくする権限、第三にデータを必要最小限に保管する運用を整えることが重要です。

個人データの漏えい等が発生し、個人の権利利益を害するおそれがある場合は、個人情報保護委員会への報告や本人への通知が必要となることがあります。個別の対応は、漏えいの経路や情報の種類などで異なるため、必要に応じて専門家へ相談してください。

参考情報

IPA「インターネットサービスへの不正ログインによる被害が増加中」、IPA「ランサムウェア対策特設ページ」、個人情報保護委員会「漏えい等の対応とお役立ち資料」を参照し、2026年10月14日に内容を確認しました。

本記事は一般的な情報提供を目的としたもので、個別の法的判断や被害対応を保証するものではありません。

サイバー保険のご相談を含め、貴社のサイバーリスクへの備えについて、

合同会社アプリコット&サクラインシュアランスへお問い合わせください。