札幌「SAPICA」や福岡「nimoca」でも、履歴をネットで他人から見られる仕様

　交通系ICカードの使用履歴をインターネット経由で照会できるサービスにおいて、本人確認のプロセスが十分でないことなどが指摘されている問題で、首都圏で提供されている「PASMO」だけでなく、他のエリアの交通系ICカードの履歴照会サービスにも同様の仕様で運用されていたものがあったことがわかってきた。札幌エリアの「SAPICA」と福岡エリアの「nimoca」が現在、履歴照会サービスを停止し、安全性などの検証に入っている。

　この問題は、ICカードの番号が他人に知られてしまうと、比較的容易に履歴照会サービスにアクセスされる恐れがあったといういうもの。例えばPASMOでは、カード番号のほか、カード購入時に登録した氏名、生年月日、電話番号を知っていれば、それら4項目の情報をPASMOのサイトで入力することで、履歴照会サービスの利用登録を行い、パスワードなどを取得できる仕様だった。その際、本当に本人が利用登録しようとしているのかを、本人の連絡先メールアドレスなどに確認するプロセスはなかった。

　今回問題が明らかになったSAPICAとnimocaでは、本人確認のために入力が求められる情報は、カード番号と生年月日の2項目だけだった。

　氏名や、場合によっては生年月日、電話番号などは、生活の中で半ば公開している情報であり、また、最近ではSNSなどで公開している情報からこうしたプロフィール情報が第三者でも収集しやすい時代になってきている。

　その一方で、クレジットカードとは異なり、交通系ICカードではカード番号を他人に知られることのリスクが周知されているとは言えない。自分の交通系ICカードの写真をブログなどで公開してしまっている例も実際に見られる。利用者が交通系ICカードの番号を管理することの重要性や、履歴照会サービスによってプライバシーの侵害が起きる可能性があることなどのリスクを、交通系ICカード運営事業者が十分に説明していないことも問題視されている。

「SAPICA」のウェブサイト

　SAPICAを運営する札幌総合情報センター株式会社では、3月1日付で、履歴照会ページをシステム改修にともない停止することのみ告知。その後、7日付で、安全性や信頼性の観点から再検討を行っていることを告知した。同センターによれば、前述の本人確認の仕様が最近インターネット上などで問題になっていることを受け、システムの定期メンテナンスと合わせて仕様の見直しも含めて検討することにしたのだという。

　ただし、確実な本人確認を行おうとすれば、極論すれば窓口における対面で身分証の提示などを求めることになり、インターネット履歴照会サービスの仕様変更やシステム改修だけでは対応できないという。同サービスを再開するかどうかも含めて、今後の予定はまだ見えていないとしている。

「nimoca」のウェブサイト

　nimocaを運営する株式会社ニモカは、3月2日に履歴照会サービスを停止。7日付で、同サービスの停止理由について、前述のような本人確認の仕組みによって第三者へ履歴が漏えいする恐れがあるためだったことを発表した。

　なお、こうした本人確認の手法は、交通系ICカード業界のスタンダードというわけではないようだが、PASMO、SAPICA、nimoca以外にも、同様の仕様で運用されているサービスが存在する可能性もある。インターネット履歴照会サービスを一時停止したことを本誌で現在把握しているのはPASMO、SAPICA、nimocaの3社だが、交通系ICカードの利用者は、自身が使っている事業者がインターネットで提供している各種サービス・機能の仕様をあらためて確認しておいたほうがいいだろう。

【追記 2012/3/12 18:00】
　最終段落を一部修正・加筆しました。