Omiaiの｢個人情報流出｣が深刻化した根本原因
恋活マッチングアプリの中でも老舗のオミアイ。個人情報流出の深刻度とは（画像は公式サイトより）
171万1756件――。
東証一部上場のネット広告代理企業・ネットマーケティングが運営するマッチングアプリ「Omiai（オミアイ）」で、不正アクセスによる個人情報流出が発覚した。
冒頭の数字は、今回流出した可能性がある個人情報の件数。その中身は、同サービスの会員が年齢確認審査時に提出したマイナンバーカードや運転免許証、健康保険証、パスポートなどの画像データだ。流出した可能性のあるデータのうち、6割が運転免許証だったという。
ID・パスワードの流出より深刻な事態になる可能性
オミアイは国内屈指の規模を誇るマッチングアプリ。サービス開始は2012年で、業界の中でも古参だ。
アプリ上で気になる相手を探し「いいね」を送信、お互いに気に入りマッチングすればメッセージ交換が可能になる。基本的に女性は無料だが、男性はメッセージ交換などを行うために月額3980円の有料会員になる必要がある。これがオミアイの収益源だ。
オミアイは約570万人の会員を抱える（累計、2020年7月時点）。今回はその約3割に上る数の個人情報が対象となっており、規模は小さくない。なおネットマーティングによると、今回流出した個人情報で不正流用が確認された事例は、現時点ではないという。
不正アクセスによる情報流出にもさまざまなパターンがある。よくあるのは、サービスのログインに必要なID（メールアドレス等）やパスワードの窃取。これも大問題ではあるが、パスワード変更などで不正ログインに対処することが可能だ。
ただ、今回はマイナンバーカードや運転免許証の画像が盗まれたため、氏名や住所、生年月日、顔写真などがセットで確認できてしまう。これら書類のコピーがあれば口座・アカウント開設の本人確認を行える金融サービスなどもあり、ID・パスワードの流出より大きな被害が出る可能性もある。
そもそも、なぜオミアイは利用者の重要書類を画像の形で保持しているのか。その背景には、恋活・婚活サービス業界全体への法規制がある。
出会い系サイトやマッチングアプリにおいて、年齢確認が「義務化」されたのは2009年のこと。2003年に施行された「インターネット異性紹介事業を利用して児童を誘引する行為の規制等に関する法律（通称、出会い系サイト規制法）」の改正・厳格化によるものだ。
以前は児童（18歳未満）でないことの確認を利用者の自己申告のみでOKとしていたが、未成年者への携帯電話の普及や児童買春被害が減らないことを受け、本人確認書類などを用いた年齢確認を義務化する法改正が行われた。違反した場合は罰金などが科される。
オミアイもこの法律の定めにのっとり、年齢確認のために運転免許証や健康保険証などの提出を利用者に求めていたわけだ。
セキュリティを高める方法はさまざまあった
ただ、年齢確認にも多様な方法がある。オミアイのように身分証明書の画像を送付させる方法だけでなく、通常18歳未満は使用することが困難なクレジットカードの登録をもって確認を行うことも認められており、その方法を採る事業者もある。
また、書類を用いる場合もオミアイのように自社で行うのではなく、「個人情報の取得・確認などの年齢確認プロセスは外部委託している」（ある競合サービス運営会社の幹部）というケースもある。専門業者に任せれば、セキュリティ体制などを自社内に構築する負担は軽減できる。
さらに、個人情報の保管期間にも各社で差がある。オミアイの場合は退会者も含めて「一律10年間」保管するとしていたが、これは比較的長い設定だ。例えばアメリカのマッチグループが運営する「Tinder（ティンダー）」では、身分証明書などの提出書類について、日本在住者の場合は最大90日間の保管にとどめている。
この場合、90日後以降は年齢確認をパスしたという「結果」のみをアカウントに紐づけて保存し、確認に使った書類のコピーは破棄する。仮にオミアイも同様の仕組みを採用し書類の長期保管をしていなければ、今回のような大規模な流出事件に発展しなかったかもしれない。
他サービスに比べセキュリティ上のリスクが高いにもかかわらず、オミアイがクレカ登録や外部委託などの方法を採らず、取得データを長期にわたって保管してきたのにも理由がある。
マッチングアプリ利用者の中には、マルチ商法への勧誘や詐欺行為を働く者も一定数存在する。自社で身分証明書を集める手法は、クレカでの確認などよりも、そうした悪質ユーザーの入会抑制や、違反行為を行なったユーザーの再登録拒否など、アプリの健全化を図る一手になる。
実際、ネットマーケティングも個人情報の利用について、年齢確認に加え「利用規約違反等が疑われる場合の事実関係調査や、違反行為により強制退会者の再登録の防止、事件性を伴うトラブルが発生した場合の警察からの問い合わせ対応等」（同社広報）があったと説明する。
成長への目算が狂ってしまった
同社のそうした姿勢は、年齢確認を行う際、書類の一部を隠すことを許容するかどうかといった点にも表れている。
本来、年齢確認に顔写真は必要ない。そのため一部サービスでは、運転免許証等のデータをアップロードする際、顔写真の部分にテープを貼るなどして隠すことを許容していた。だた、オミアイでは「（書類の一部を隠す）マスキングにもさまざまな手法があり、いったん認めてしまうと偽造や改ざんの判定や管理が困難になる」（広報）として、禁止している。
年齢確認の簡便性などよりも、真剣な出会いの場として活用しようとするユーザーの安心・安全を重視する。それ自体は他サービスと差別化するうえで選びうる一つの道だろう。ただし、情報の管理体制が甘ければ本末転倒。ひとたび今回のような情報流出が起きれば利用者の信頼は失われ、取り返しのつかないダメージを負う。
広告事業から出発したネットマーケティングだが、近年はオミアイ（メディア事業）の拡大を成長の柱としてきた。今回の事件で、その目算は大きく狂ってしまっただろう。信頼回復の道のりは険しい。
