「女性のプライベートをのぞいて、性的欲求を満たしたかった」――。大手携帯会社KDDIの販売代理店「auショップ」の元従業員が、女性客のメールを自分の携帯電話に自動転送するよう設定し、のぞき見していたとして逮捕された。
容疑者がのぞき見したメールは1200通にも及び、警察が押収した携帯やパソコンからは女性のプライベートな写真が6000枚以上見つかった。それだけでなく、女性が使っていたSNSのIDを割り出し、不正にログインしていた可能性もあるという。今回の事件は顧客情報の管理システムを悪用した犯行で、「ユーザーに防御策はない」ともいわれるが、本当なのだろうか。
-
携帯ショップの店員だからといって、安易に操作を任せてはいけない
システム操作だけでは「不可能」な犯行
報道によると、容疑者は2014年8月から9月にかけて、顧客情報の管理システムを不正に操作して、女性客が受信するメールが自分の携帯電話に転送されるよう無断で設定した。事件当時、容疑者は新規契約を担当しており、契約者の個人情報や利用状況が登録されている情報管理システムに接続する権限があったという。
だが、ネット上ではこうした手口は「ありえないのでは？」と疑問の声が上がっている。携帯ショップで働いているというユーザーの間で、「大前提としてKDDIの顧客情報端末ではメールの自動転送設定は触れない」「通常の業務範囲内では顧客のパスワードや暗証番号を知ることはできない」といった意見が交わされているのだ。
KDDIはJ-CASTニュースの取材に対し、「確かに販売代理店にある情報管理システムを不正に使用しただけでは、自動転送の設定を行うことはできません」と答える。客が店員に携帯電話の暗証番号を教えたり、本体をそのまま手渡して作業を丸投げするようなことがない限り、店員が無断で設定を変更することは不可能だという。
メールだけでなく、個人情報も「盗み見していた」？
では、どうして今回のような事件が起きてしまったのか。ITジャーナリストの石川温（つつむ）氏は16年1月15日にYahoo！ニュースに寄稿した記事で、容疑者が窓口業務を担当する中で、顧客からメールアドレスやパスワードを聞き出したり、本体の暗証番号を盗み見たのではないかと推測している。つまり、容疑者はシステムを不正に操作したわけではなく、客との直接のやり取りから「個人情報を盗み出した」というのだ。
そもそも、「auショップ」というブランド名を冠してはいるが、KDDIが直接運営している店舗は0.1%未満だ。ほぼ全ての店舗が、KDDIと直接契約した1次代理店、もしくはその下請けにあたる2次代理店の手で運営されている。これは、ドコモやソフトバンクの販売店でも同様だ。
ITジャーナリストの三上洋氏は、16年1月15日放送の「とくダネ！」（フジテレビ系）に「携帯電話販売店のほとんどが『代理店』であるため、コンプライアンスが十分に行き届かない店もあるのではないか」とコメントを寄せている。
また、ここ最近携帯の販売店を訪れたという50代男性は、「携帯の操作方法が分からないので、店員に本体を手渡して設定を任せることもある」と語る。それだけでなく、店員から携帯を手渡すように提案された経験もあるという。
「個人情報の塊」ともいわれる携帯電話。今回の事件や業界の構造を考えると、いくら相手が携帯ショップの店員であったとしても、安易に操作を任せたり、暗証番号を教えたりすることは控えるべきだろう。