デジタルオレオレ詐欺―私のデータと、私を守る「間」
情報漏洩の通知を受け取った。
メールが一通、届いた。
何万人もの情報が流出したという。企業にとっては何万人のうちの一人でも、私にとっては、私自身のことである。おわびの文章は読み終えられる。しかし、不安には読み終わりがない。
何が漏れ、誰の手に渡り、いつ、どんな形で私の前に現れるのか。通知を閉じたあとも、その問いは残る。
いったん外に出た情報を、すべて回収するのは難しい。複製され、別の情報と結びつき、売買されるかもしれない。漏れた情報が必ず犯罪に使われるとは限らない。それでも、自分の個人データが、手の届かないデジタルの荒波に浮遊している。その感覚は消えない。
これから、どんな台本が私に向けて用意されるのだろう。
私は、こうしたなりすましによる詐欺を、広く「デジタルオレオレ詐欺」と呼んでいる。
「オレ」は、息子だけではない。配達業者であり、公的機関であり、銀行であり、友人であり、家族でもある。「あなたが知っている相手です」「あなたが信じるべき相手です」という顔をして、日常に入り込んでくる。
その向きは、大きく二つある。誰かになりすまして、私をだます。そして、私になりすまして、誰かをだます。
例えば、私の名前や住所を知る相手から、荷物の再配達を装う連絡が届く。本当の情報が織り込まれているだけで、偽の話に現実味が生まれる。
反対に、私を装ったアカウントが、友人に「急いでお金を立て替えてほしい」と頼むことも考えられる。私の情報が、私の大切な人を傷つける道具になる。盗まれるのは情報だけではない。人と人とのあいだに積み重なった信用まで、利用されてしまう。
そこに、生成AIが加わった。
文章や写真による偽装に、声、表情、しぐさが重なる。平面のうそが、立体的な芝居になっていく。米連邦取引委員会も、家族の声を複製し、緊急事態を装って金銭を求める手口に注意を促している。[1]
電話の向こうで、聞き覚えのある声が「助けて」と叫ぶ。続いて、別の声が身代金を要求する。しかし、家族は誘拐されていない。誰かを実際に連れ去らなくても、電話を受けた人の心に「誘拐事件」を起こせてしまう。FBIは、加工した写真や動画を、家族を拘束している証拠のように見せる恐喝についても警告している。[2]
自分の顔を合成した偽の性的画像を突きつけられ、「ばらまかれたくなければ払え」と脅される場面も考えられる。アカウントを乗っ取られ、連絡先や信用を持ち去られることは、いわばデジタルの置き引きだ。気づいたときには、自分の分身が他人の手で動き始めている。
では、私たちはどう身を守るのか。
必要なのは、すべての偽物を見破る超人的な目ではない。私はそれを、「サイバー判断力と、間のお稽古」と呼びたい。
まず、自分の情報の一部は、すでに知られているかもしれないと考える。名前や住所を言い当てられても、それだけで相手を信用しない。情報を知っていることと、本人であることは、別だからだ。
そのうえで、三つの求めに敏感になる。
お金を動かすこと。パスワードや認証コードを渡すこと。そして、いつもと違う連絡手段や手続きへ移ること。
これらが出てきたら、いったん止まる。「今すぐ」「誰にも言うな」が重なったら、なおさらだ。私の不安や善意を急がせて、確かめる時間を奪おうとしていないか。その違和感を大切にしたい。
電話を切る。返信を止める。届いたリンクから離れる。そして、以前から知っている電話番号や、自分で開いた公式アプリから確かめ直す。家族なら、普段の連絡先へかけ直す。
攻撃者が用意した舞台で、最後まで演じる必要はない。相手を説き伏せなくても、正体を暴かなくてもよい。静かに降りればいい。
この「間」は、知っているだけでは、とっさに生まれない。家族や職場で、急なお金の話はいったん切って確認すると決めておく。「確認して、こちらから連絡します」と口にしてみる。返事を保留する練習も、身を守るお稽古になる。
しかし、ここで話を個人の心がけだけに着地させてはならない。
情報を漏らされた私が、なぜ、その後も警戒し、監視し、対処し続けなければならないのか。漏らした側の企業は、最後まで責任を取るべきである。
例えば、流出した私のメールアドレスやIDなどが、不正に出回っていないかを継続して監視する。悪用の兆候を把握したら、速やかに知らせ、必要な対応につなげる。監視ですべてを見つけられるわけではない。それでも、その費用と手間を、漏らされた本人だけに負わせるのは筋が通らない。
監視サービスを案内して終わりでも困る。不正利用が起きたときの相談、アカウントの復旧支援、被害に応じた補償まで、実際に頼れる窓口と手段を用意してほしい。何が漏れ、何がまだ分からず、どのような支援をいつまで続けるのか。企業自身の言葉で、具体的に示す必要がある。
「不審な連絡にご注意ください」。その一文で、企業が負うべき責任を、私の注意力に移してはならない。
私にとって、漏洩は通知が届いた日に終わった出来事ではない。これから届く一通のメール、一本の電話に、不安が続いていく出来事である。企業の対応も、その時間の長さに向き合うべきだ。
私は、自分を守るための「間」を身につけたい。同時に、私の情報を預かった企業には、漏洩後の私を支える責任を果たしてほしい。
突然お金を求める声にも、認証コードを聞き出そうとするメッセージにも、立ち止まって確かめたい。そして、おわびのメール一通で、その後の支援が見えてこない企業の対応にも、同じ問いを向けたい。
なんかおかしくない？
参照
[1] 米連邦取引委員会（FTC）「Scammers Use Fake Emergencies To Steal Your Money」家族の声の複製を悪用した詐欺と、本人への確認について。
[2] 米連邦捜査局（FBI）「Criminals Using Altered Proof-of-Life Media to Extort Victims in Virtual Kidnapping for Ransom Scams」加工した写真や動画を悪用する偽装誘拐・身代金要求について。
#デジタルオレオレ詐欺 #情報漏洩 #個人情報保護 #なりすまし #生成AI #サイバー判断力 #間のお稽古 #企業の責任 #なんかおかしくない