GMOインターネットは10月27日の第12報で、「お名前.com デスクトップクラウド」の不正アクセスで情報が公開された利用者に、「GMO特別お見舞金」を払うと発表しました。
情報漏えいの事故で、会社が利用者にお詫びの金券などを配ることは珍しくありません。ただ、今回の特別お見舞金は、決め方も金額も、これまでの例とかなり違います。この記事では、GMOの特別お見舞金の仕組みと、国内の情報漏えいのお詫びの相場との違いを整理します。10月29日時点の情報です。
3つのお金を区別する
今回、GMOが利用者に払うとしているお金は、3種類あります。
名前 | 対象 | 金額 |
|---|---|---|
お見舞金(第4報) | 今の利用者全員 | 一律5,000円 |
損失の補償(第4報) | 不正な取引で損失が出た人 | 確定した損失の額 |
特別お見舞金(第12報) | 攻撃者に情報を公開された人 | 情報の種類ごとに1万〜2万5,000円 |
3つは別々に払われます。たとえば、不正な取引の被害に遭い、情報も公開された利用者は、3つすべての対象になりえます。
特別お見舞金の決め方
特別お見舞金は、公開された情報の種類で金額が変わります。
- 氏名や連絡先などの基本的な情報 1万円
- 取引口座のIDやパスワードなど、お金やログインに関わる情報 1万5,000円
- 機微な情報や要配慮個人情報(病歴など、人に知られると困る度合いが特に高い情報)などのプライバシー性が高い情報 2万5,000円
複数の種類が公開されていれば合計します。たとえば氏名と取引口座のIDが公開された人なら、1万円と1万5,000円で計2万5,000円です。上限について、GMOは「1公開につき上限300万円」と表記しています。公開の範囲や方法が変われば、内容を見直すことがあるともしています。
国内のお詫びは500円の例がよく知られる
国内の大きな情報漏えいでは、お詫びとして500円分の金券を配る例がよく知られています。2014年のベネッセの顧客情報の漏えいでは、500円分の金券などが用意されました。
それと比べると、一律5,000円の見舞金の時点で、すでに10倍の水準です。特別お見舞金はその上に、情報の重さに応じて上乗せされます。
何が珍しいのか
金額の大きさに加えて、珍しい点が2つあります。
1つは、公開された情報の種類で金額を変えていることです。名前だけが出た人と、取引口座のパスワードまで出た人では、受ける不安も、二次被害のおそれも違います。その差をお金の差として示しています。
もう1つは、上限を「1公開あたり」で決めていることです。攻撃者が情報を何度かに分けて出してきても、そのたびに払う形です。攻撃者が情報を小出しにしてくる可能性を見越した設計に見えます。これは私の見方で、GMOがそう説明しているわけではありません。
会社として考えておくこと
自分の会社で情報漏えいが起きたら、お詫びをどうするか。答えは事故ごとに違いますが、平時に考えておけることはあります。
- 利用者にどんな被害が出うるか(お金の被害か、不安か、二次被害か)
- 一律で払うのか、被害の重さで分けるのか
- 損失の補償と、お詫びを分けるのか
誰がお詫びの金額を決め、どの予算から出すのかを決めておくだけでも、事故の当日に慌てずにすみます。
私は会社のお詫びの金額を決める立場ではありませんが、利用者として漏えいのお知らせを受け取ったことはあります。そのとき気になったのは、金額よりも、自分の何が漏れたのかが書かれているかどうかでした。GMOの区分の仕組みは、何が出たかを利用者ごとに知らせることとセットになっている点で、参考になると思います。
受け取る側の注意
特別お見舞金の対象になる利用者には、GMOから個別に連絡が来るとされています。お見舞金を装った詐欺のメールも出てくるはずです。GMOはパスワードや認証コードを聞くことはないとしているので、メールのリンクは押さず、公式のお知らせと照らし合わせてください。
一律5,000円の見舞金の案内は10月30日まで、損失の補償の申請方法は11月6日までに知らせるとされています。期限は別の記事にまとめています。
