情報漏洩事故で、GMOの熊谷代表が会見。
記事を読んでいて、野次馬しかいないのかよ、と思った。
どうでもいいじゃん。
記者はテクニカルな質問ができなかった。
だから中身がなかった。
よって、ネット民が騒いでいる。
オールドメディアのマッチポンプでしょ、これ。
2026年10月、JR東日本の新しいコード決済サービスであるteppayを使ってみた。
ビューカードの審査はクレディセゾン、JRE BANKは楽天銀行のBaaSと、提携会社を駆使。
teppayはJCBと提携。JCBブランドのバーチャルカード（teppay JCB プリカ）を発行できるし、JCB が提供する QR コード・バーコード決済スキームであるSmart Codeを利用して全国にすでに加盟店がある。
・・・とかGoogle検索を駆使して書いていると、こたつ記事と変わりないので、実際に使った感想を書いてみたい。
わたしにとってSuicaで買い物をする際の最大の不満は、上限の低い限度額ではない。
マネーフォワードでモバイルSuicaの明細を取り込むと「物販」になってしまうこと。
おかしを買ってもジュースを買っても弁当を買っても薬を買っても、ディナーを支払っても、服やかばんを買っても、みんな物販。
これが、「tp/(店名)」になった。
ようやく、利用者に店名情報を提供してくれるようになった。
店名がわかれば、たいていは家計簿に必要な費目の分別が可能になる。
ただし、これは「ビューカードで支払い」を選択して利用したことで、クレジットカードのITシステムから提供されたものである。
teppay残高払いをしたときにはどうなるのか、まだ試せていない。
ただ、teppay残高にチャージする予定は、今のところない。
魅力がないからだ。
モバイルSuicaの明細は、利用の翌朝からマネーフォワードでダウンロードできる。
以前は複数回ダウンロードしようとすると長らく待たされた後でエラーになっていたが、今年になって仕様が変わった。
「ビューカードで支払い」では、ビューカードの仕組みなので1日1回の制限はない。自動更新にも対応している。
ただし、買い物の2日後?くらいに明細に反映される。
翌朝から2日後に変わり、やや遅くなった
エキナカの飲食店に設置された自動券売機にも、teppayのシールが貼ってある。
券売機には以前からQRコードを読み取るスキャナーがついていたが、ようやく稼働を開始したようだ。
徐々に広まりますという感じではなく、都会の駅ではたいてい自動券売機、自動販売機で使えますという感じになっている。
ただ、JR東日本の駅以外で、どこにSmart Code対応の自動販売機があるのか思い浮かばない。
お店についてはJCBの営業により、多くの有名チェーン店に普及しているようだ。
www.smart-code.jp
それでも、Smart Codeのロゴシールが貼られているのを見たことがないし、「Smart Codeで」と言ったら店員から「はっ？？」と言われそうな気がする。
バーコード決済に対応している店は多いが、PayPayだけ、あるいはSmart Code未対応というお店も数多くある。
teppay登場前、エキナカでは、Suica + JRE POINTの方がポイント二重取りができてお得であることが知られていた。
teppayの「ビューカードで支払い」を使用すると、ビューカードのポイントしかたまらない。
緑と黄色のステッカーが両方貼っているお店で、モバイルSuicaとJRE POINTバーコードを使ってポイント二重取りをするのが最強である。
11月4日からキャンペーンをするそうだが、なぜteppayデビューと同時に始められなかったのかが不思議である。
しかも、お得というよりは、Suica二重取りと並んだだけであって、キャンペーンが終わったら低還元に戻るのだろうと想像している。
エキナカ店員への教育は行き届いているようで、「teppay」と告げた時に緊張が伝わってこない。
「え、そんなのやったことない。どうしよう」という感じを想像していたが、はい、テッペイですね、とあっさり操作をしてくれた。
しかも、モバイルSuica + JRE POINTバーコードの組み合わせを、teppay + JRE POINTバーコードの組み合わせに代えてみたところ、
店員の端末操作もスムーズになっていた。
モバイルSuicaの場合は、店員がいったん端末をクレジットカードモードにしてJRE POINTのバーコードをかざし、一度クレジットカード決済をキャンセルしてから交通系に切り替えるという操作が必要になっていた。
teppayの場合は、JRE POINTバーコードを読ませてから、すぐにteppayもどうぞ、という感じ。
ただ、支払い者からすると、モバイルSuicaアプリを起動してからの操作が長い。
teppayを選び、通信を伴う「画面遷移中です」表示を見届け、「ビューカードで支払い」を選んでようやくバーコードが表示される仕組みである。
自分の手間を少しでも減らしたい人はSuicaがいいと思うだろうが、わたしは違う。
例えば飲食であれば、自分の手間はレジに向かうまでに、準備しておけばよいと考える方だ。
店員の戸惑いや、端末操作の手こずりは、自分の力では時短できない。自分の力ではどうしようもない部分が小さくなっている方が、全体を通して会計が素早くなる。
本当は、teppayを読ませるだけでJRE POINT登録も済むようにしたらいいのにね。
JCBの仕組みを利用しているから、仕方がないのだろうと憶測をつけ足しておく。
SuicaとJRE POINTの紐づけができていると、Suicaでの買い物をした翌日までにはJRE POINTが付与される。
しかし、「ビューカードで支払い」の場合はビューカードと仕組みが同じなので、月に一度、まとまって付与される仕様のようだ。
JRE POINTアプリでは合計額しか教えてもらえないので、本当にポイントが付与されたのかを確かめようがない。
情報漏洩事故の報道が増えているのは先に書いた通りであるが、
昨年との違いは、経済的な被害の報告があまり見られないことだ。
被害を受けた会社は、口をそろえて「口座情報は別途管理されているため、今回漏洩した情報には含まれていません」と言う。
金融サービスへの不正侵入、口座情報漏洩、不正取引に関する被害があまり見られない。
2025年の大手証券口座乗っ取り、不正売買の騒動以降、金融界隈は急にセキュリティレベルが上がったのだろうか。
真実は、次のどれか。
さて、どれだろうか。
情報漏洩事故が次々と明るみになっている。
企業が情報システムを用いてネットのサービスを作るとき、事前に検査をすることが不可欠である。
設計資料を見て誤りがないかを確認するだけでは不十分で、最新の攻撃手法を知っている専門家を連れてきて、疑似的に攻撃を仕掛けてみて防御を突破されないかを調べるのが最も確実である。
確実とは言っても、検査した時点で安全というだけで、攻撃手法は日々進化しているので時々検査をしてみなければならない。
疑似的であっても、本物の攻撃と手法は一緒なので、検査をするときには十分注意しなければならない。
もし防御が破られてしまうと少なからず情報システムに影響を与えてしまう。
さて、外部業者のデータセンターを利用するとき、データセンターの入り口が他の企業と共有になっている場合がある。
データセンターで100社と契約して情報システムの運営を引き受けるとき、通信会社からケーブルを100本引くわけではない。
一部の部分はどうしても他の企業と共有となる。
検査をしても大丈夫か。
リアルの世界に例えるならば、こういう実験をしてみようか。
「5つしか窓口がない銀行の支店に対して、一度に5,000人押しかけたらどういうことになるか、試してみよう。」
この実験では関係のない人にまで迷惑をかけることを目的とはしていないので、同じビルに入っている別の店の中にまで押しかけることはないのだが、支店内だけでなくビルの外まで人があふれてしまうので、結局、別の店の営業にも影響を与えてしまう。
攻撃を仕掛けると、他の企業のサービスにも影響を与えかねない。
よって、契約時には
他の契約者にまで迷惑をかけるような検査はお控えください
とされるのが今までの暗黙の了解だった。
ただし、情報漏洩事故がここまで広がると、そうは言っていられない。
正規の検査者が疑似的な攻撃をする前に、
本物の攻撃者が、手あたり次第、攻撃を仕掛けている状態である。
This is not a drill. (これは訓練ではない)
もはや世界中がサイバー戦争の戦時下に突入したと言っていい。
最新の攻撃は、経済犯や愉快犯であれば、サービスの運営者に気づかれないように侵入を試みるので、上に書いたような、5,000人で押しかけるようなことはしない。
しかし、確実に、鍵の閉め忘れはないか、扉のない入り口はないか、鍵を持っている人から鍵を奪えないかを探して回っている。
ネットのサービスの運営者が気を付けていても、外部業者のデータセンターが使っている裏口が開けっ放しであれば意味がない。
定期的な検査を自主的に行うデータセンターしか生き残れないのではないか。
そんな気がしている。
それをやる体力があるのは、米中のＩＴ大手のみ。
国内のデータセンターを使えば、海外にデータが行かないから安全という考え方もあったが、海外に置かないと危険という時代が来るかもしれない。
誰にも預けられないから自社で管理しようというのが実は一番危険である。
自社管理では、セキュリティに十分な投資ができない。すぐに最新の攻撃によってめくられてしまう。
大変な時代になったものだ。
レンタカー会社が免許証画像を漏洩した事故で、関係機関は大騒ぎ。
NHKニュースによると、国土交通省は、次のようにコメント。
利用者の運転免許証の画像など重要性の高い個人情報が大規模に漏えいすることは利用者の不安を引き起こし、事業の信頼を揺るがすおそれがあり遺憾だ
さらには広島県公安委員会は免許証再交付の特例措置を行うとしている。
軽く扱ってはいけないけれど、騒ぎすぎだと思う。
金融取引など、不正登録のリスクが高い場面では、免許証「画像」だけでは本人確認していないことが多いと思われる。
eKYCと呼ばれるオンラインの本人確認では、単に本人画像があるだけでは認めてもらえない。
本人が登録したことがないサービスにおいてなりすましが発生したところで、画像だけで本人確認をしているサービス側に問題があり、交渉は有利に進められると思う。
免許証画像の重要性は高くない。
これまでの慣習として「免許証のコピーを郵送で送ってください」と言われることがあった。
FAX全盛の時代には、携帯電話を購入すると、店の人は免許証のコピーを取り、FAXで携帯電話会社に送っていた。
しかし、金融機関に限れば、券面を用いた本人確認は事実上禁止されている。
顔写真つき本人確認書類のコピーは、もはや本人であることを証明する能力がない。
証明写真というと、背景に余計なものが映りこまない場所で、かしこまった服を着て姿勢を正し、正面を向いて撮影するというのが昨年あたりまでの常識だった。
ところが、今どきのAIは、スナップ写真や動画をもとに、証明写真を作り出すことができてしまう。
顔を覆って生活している人を除き、日常生活を送っている人にとって、証明写真は他人でも作れてしまう。
非承諾であっても、盗み撮りであっても、写真を撮ってしまえば可能だ。
もはや、玄関の表札レベルだ。
住人が他人に名前を知られたくなければ表札を出さない。
郵便物や宅配を受け取りやすくしたければ表札を出すが、公道を通る人には誰にでも見えてしまう。
住宅地図にも名前が載ってしまう。
それと同じレベルだ。作る気があれば他人でも作れる公開情報である。
刑事事件がテレビニュースで取り上げられ、容疑者が特定されると、
マスコミはどこからか卒業アルバムを見つけてきて放映する。
そんなテレビがこの情報漏洩事故を取り扱うのが不思議でならない。
やっていることは全く同じではないか。
報道として行う行為のすべてには公益性があり、公益性があれば何でもやっていいというのは思い込だ。時代に合わせて見直してほしい。
推定無罪の人の顔写真をデジタルタトゥーにするべきではない。
凶悪犯、逃走犯であればやむを得ないと思うが、検挙された後は不要ではないか。
警察が作成している指名手配のポスターも検挙されたら顔写真の上からシールが貼られて見えなくしている。
そうするべきである。
しかし、現実世界ではそうはならない。
公開情報である。
もはや公開情報となった顔写真を単体で提示されて本人確認をしてしまうサービスがあったら、それはおかしい。
逆に言えば、まともなサービスであれば、他人に画像を不正入手されても、登録を受け付けない。
よって、重要性は、低いと言わざるを得ない。
ただ、それはセキュリティ、本人確認における重要性であって、プライバシーの観点で考えれば重要。
要は、写真を不正入手されるのは「気持ちが悪い」。
そういう意味では国土交通省がいう「利用者の不安を引き起こ」すというのは正しい。
セキュリティ上、単体では重要性が低い情報であっても、今回は氏名、住所などと一緒に漏洩している。
低いものをたくさん集めて同時に出すと、出された相手は本人だと勘違いしてしまうかもしれない。
名前も住所も性別も生年月日も全部あっている。そして顔写真がついている。
だから本人だろう。
本人確認をしている人がこのような判断をするのは適切ではないが、人間心理として理解できなくはない。
また、本人画像と本人を照合できない場合というのはありうる。
ひとつ例をあげると、それは本人が死亡したときだ。
相続人に対して「免許証画像だけでは本人確認ができません。本人を連れてきてください」という人はいないとは思うが、そのような場合は別の証拠で確認するしかない。
世の中の手続きをすべて調べたら、免許証画像だけで不正ができるものが発見されるかもしれない。
それをさせてしまうかもしれない状態を作りだしてはいるので軽くみてはいけない。
しかし、繰り返すが、もはやセキュリティの観点では重要ではない。
かつて、地方税は窓口で納付していました。
2003年以降、納付書にバーコードが印刷されるようになり、30万円以内であればコンビニで支払えるようになりました。いわゆるコンビニ収納です。
そして2023年、eL-QRが始まり、QRコードをスマートフォンで読み取ることで、自宅から納税できるようになりました。
コンビニ収納の上限は30万円まで。
さて、スマートフォンアプリのeL-QRを読み取った場合はいくらでしょうか。
AIに尋ねると30万円だという回答が返ってきました。
今後AIが見解を修正する可能性がありますが、少なくてもこれを執筆している時点では、各社AIサービスの中には30万円と答えるものがあります。
聞き方を変えると回答が変わる場合がありますが、それであればと厳密に条件を指定すると「詳しいことは確認が必要」と逃げられてしまいます。
それなら実験してみようと思いまして、
わたしが実際に試してみたところ、30万円超の支払いもPayPay請求書払いで支払うことができました。
クレジットカードだと手数料がかかるし、窓口に行くのは手間がかかります。
PayPay請求書払いはポイントはたまらないけれど、手数料も0で支払いを完了できました。
AIに抗議したところ、次のような回答でした。
これが本当かどうかはわかりません。
もしかしたらわたしが決済できたのは偶然かもしれませんし、あとで支払い不成立の通知が来るのかもしれません。
でもまあ、本稿執筆時点ではとりあえず支払いに成功しました。
問題はここからです。
風が吹けば桶屋が儲かるのように、AIが類推しないとこの回答は出せないのでしょうか。
アプリによっては、ネット中を探しても、上限が書かれたサイトを確認できませんでした。（個人調べ）
特にPayPay。
これが今日の書き込みで言いたかったこと。
eLお支払サイト(旧地方税お支払サイト)によると、対応スマートフォン決済アプリは27もあります。
各アプリは複数の決済手段を持っていて、eLお支払サイトとしては27のアプリの仕様を把握するのが大変でしょう。
「○県○市で、□□□アプリを使うとき、上限は何円ですか？」
○市: 「eLお支払サイトにお尋ねください」 eLお支払サイト: 「各事業者にお尋ねください」
具体例。
東京都のサイトは、eLお支払サイトを案内。
置かれていたリンクをクリックすると、期限切れFAQのページに遷移した。
そして、こんな記述を発見。
たらい回しの典型である。
では、各決済アプリで上限額を説明すべきなのでしょうか。
自治体と接続すると、自治体ごとに微妙に仕様が異なる可能性があります。
アプリが相手にするのはeLお支払サイトではなく、各自治体です。
自治体の数、1,700もあります。
あくまでも可能性の話です。eLお支払サイトが存在するのだからそれほどローカルルールはないはずですが、ないとも言えません。
アプリとしては、全国分の細かい仕様を解説するのは大変ですが、でも行政側は各事業者に任せているので、各事業者にがんばっていただくしかありません。
PayPayさん、わかりやすい解説をお願いします。
すでに掲載している決済アプリもあります。
楽天ペイは、PayPayと同じように類推方式
国土交通省関東地方整備局 令和8年9月30日Press Release。
https://www.ktr.mlit.go.jp/kisha/kisha_03729.pdf
その別紙。
拡大してみる。
宮野木ジャンクションの位置に、宇都木と書いてあるけれど、これは何？
細かいことを言うと、宮野木ジャンクションから南側のみE14（京葉道路・館山道）を青線にしているのはなぜでしょうかね。
京葉道路はE14ではあるが、高速自動車国道ではなく一般有料道路だと言いたいならば、宮野木ジャンクションではなく蘇我まで黒線、その先は青線にすべきではないでしょうかね。
でも当該区間は館山道のA'路線だから青線なんですかね。
まあ、関東地方整備局によれば、E14の起点は宇都木という地点らしいですが。
高谷ジャンクションが海岸線から遠いところを通っていますね。首都高速湾岸線が途中から地下鉄東西線みたいなルートになっています。
間違いは仕方がないとして、役所は地図を手作りしているのですかね。
