なりすまし・不正ログイン発生時のユーザー対応（本人通知、損害賠償、問合せ対応等）

「なりすまし・不正ログイン発生時の個人情報保護法対応、関連法令と刑罰」（以下「前回記事」といいます）では、正規のユーザーになりすました不正ログインが判明した場合の個人情報保護法に基づく対応や、成立しうる刑事罰について整理しました。

本記事では、サービス提供者によるユーザーへの対応として、被害拡大の防止のための措置、被害状況の確認・調査、調査結果に応じたユーザーへの通知、その他の対応方針の検討などについて解説します。

被害拡大の防止措置

まず、不正ログインが確認された場合には、緊急的な対応として、さらなる被害の防止の措置をとる必要があります。

なりすましが判明したアカウントはもちろん、それに基づいてほかにもなりすましが疑われるアカウントが発覚した場合には、それらのアカウントの一時停止を検討することになります。また、アカウント停止のほか、暫定的な措置として、当該アカウントに関するパスワードを強制的にリセット等することも考えられます。さらに、サービスに対する大規模な不正ログインの兆候が確認できた場合には、個別のアカウントではなく、サービスそのものの一時停止を検討する必要が生じることもあります。

なお、不正ログインの原因がリスト型攻撃（※）であると疑われる場合には、一時的にアクセス元IPアドレス群からの通信をブロックするといった対処も考えられます。

被害状況の確認・調査

正規のユーザーになりすまして、不正に他人のアカウントにログインした者（以下「不正ログイン者」といいます）が、そのウェブサイトで行う活動は、そのウェブサイトで提供されているサービスの内容次第で、様々なものが想定されます。

次の表は、その典型例をサービスごとに示したものです（これ以外の活動をしないという趣旨ではありません）。

このように、不正ログイン者の活動は多岐にわたります。そして、実際に生じた被害に応じて、ユーザーへの対応方針が変わることから、早急に事実関係を調査し特定することが求められます。

また、なりすましによる不正ログインとして検知・認識したものが1件だけであったとしても、特にリスト型攻撃の場合、多数のID・パスワードのセットを用いて不正ログインを試行することも多いことから、同様の不正ログインの被害がほかのユーザーに発生していないかどうかも調査する必要があります。

不正ログインされたユーザーへの対応

個人情報保護法に基づく報告および本人通知

不正ログイン者が、ウェブサービス上に登録されている正規ユーザーの個人情報にアクセスした場合、または、そのおそれがある場合には、そのアクセスには「不正の目的」がうかがわれることから、個人情報保護法に基づき、個人情報保護委員会等に対する漏えい等報告および本人に対する通知を実施する必要が出てきます（前回記事参照）。

また、前回記事で触れたとおり、なりすましによる不正ログインは、リスト型攻撃によって行われているケースが多く、そのような場合、ID・パスワードのセットがほかのサービス等からすでに漏えいしています。ほかのサービス等のID・パスワードで不正ログインできてしまうということは、そのユーザーが、当該ID・パスワードのセットを、さらにほかの複数のサービスで使い回している可能性が高いです。したがって、仮に法的な義務としての本人通知が不要であっても、さらなる被害拡大を防ぐため、なりすましによる不正ログインがあった場合には、ユーザーに通知を行うことが望ましいところです。

事実関係等の公表、問合せ窓口の設置

不正ログインされたユーザーの数が多数にのぼる場合、本人への通知を契機として、ユーザー等からの問い合わせの数も多くなることが予想されます。そのような場合、サービス提供者として各問い合わせに対して矛盾した回答をしないよう、統一的な問合せ窓口（コールセンターなどを含む）を設置し、想定される質問への回答を準備しておくことが考えられます。

それに加えて、必要に応じて、インターネット等を通じて事実関係やよくある質問（FAQ）を公表することで、ユーザーに対する説明を行うこともあり得ます。

不正ログイン発生時におけるサービス提供者による公表文のサンプル（実際の公表例を元に筆者にて作成）

ユーザーへの金銭的な補償・損害賠償

サービス提供者のセキュリティ対策の不備などが原因となって、なりすましなどの不正ログインが発生した場合、よく議論となるのは、ユーザーに対して損害賠償を行うべきかどうかという点です。この問題は、次に説明するように、ユーザーにどのような被害が生じているかに応じて検討する必要があります。

また、必ずしもサービス提供者に一方的に責任があるとは評価されないケースもありえます。たとえば、なりすましによる不正ログインの手法がフィッシングであった場合には、偽サイト上でIDやパスワード等の情報を入力してしまったユーザーの過失が考えられますし、リスト型攻撃の場合、ユーザー側のID・パスワードの使い回しが主な原因です。そのような場合にまで積極的に補償や賠償をすべきかどうかは、とりわけ慎重な検討を要すると考えられます。

ユーザーの氏名、住所などの情報が漏えいした場合

ユーザーの氏名、住所などの情報が漏えいした場合の対応として、過去には、ユーザーに経済的損失が発生していなくても、ユーザーに対して、サービス提供者側から500円程度の金券を配布した事例が散見されました。また、氏名、住所などの個人情報が漏えいした事案に関する裁判例においても、サービス提供者側に１人あたり1,000円～3,000円程度の損害賠償の支払を命じたものがあります ¹。他方で、近年では、金券を配布する事例はあまり見られません。

金券を配布するかどうかは、その漏えいに関するサービス提供者の責任の有無および大小、漏えいした情報の内容および規模、社会的な注目の状況などを踏まえて個別に判断することになるでしょう。ただし、一般論としては、ユーザーが現実に金銭的な損害を被ったわけではないこと、損害賠償の算定について明確な計算式があるわけではないこと、法令上要求されているものではないこと、そして、金券の配布はサービス提供者に大きな金銭的負担を伴わせるもの ² であることなどから、金券の配布には、基本的には慎重であるべきと考えられます。

ユーザーに金銭的な損害が発生した場合

他方で、不正ログインを契機として、ユーザーに経済的な実損害が発生してしまった場合には、状況に応じてその損害の補償や賠償を検討する必要があります。

補償・賠償の内容としては、たとえば、クレジットカード情報が漏えいしたために、ユーザーがクレジットカードの再発行を余儀なくされた場合の再発行にかかる費用等が考えられます。

ほかにも、金銭的な価値を有するポイントサービスに不正ログインがあり、ポイントが使われた（何らかの商品と交換されたなど）場合には、不正に使われたポイントの補償・賠償を検討する必要があると考えられます。

再発防止策の策定

なりすましによる不正ログインは、ユーザーの行動に起因するケースも多く（パスワードの使い回しを原因としたリスト型攻撃など）、サービス提供者側でどのように再発防止策を策定するかは悩ましい点も多いです。

たとえば、IDとパスワードで認証されるシステムであれば、二段階認証または二要素認証を導入することが考えられますが、これらは、ユーザーの利便性を落とすリスクもあるため、強制的に利用させるのではなく、オプションとして実装したうえで利用を推奨するケースもあります。

また、不正ログインがあった場合にユーザーがそれをただちに検知できるように、ログインした際の電子メールによる本人への通知機能を実装することで、被害の拡大を防ぐこともあり得ます。