本人確認書類の画像は「確認後すぐ消す」「直リンクで見せない」
免許証などの画像は漏えい時の被害が最も大きいデータのひとつ。確認が済んだら保持しない運用にし、残す間は非公開ストレージに置いて、短命の署名付き URL か認可付きの配信経由でしか見せない。
最近の事例から
- 保持しすぎ: タイムズカー（パーク24）は本人確認書類の画像を会員期間中と退会後 7 年間保持していた。不正アクセスで退会者を含む約 660 万件の会員情報が流出し、うち書類画像は約 160 万件。登録完了後は保持しないルールに変え、保有中の画像は 10 月末までに削除するとした。
- 直リンクで見えた: Snapmart では、2019 年 3 月ごろから 2026 年 10 月 8 日まで、画像の保存先の設定不備で、本人確認書類の画像が URL を直接指定すれば認証なしで表示される状態だった（アクセスログ上、大量取得の形跡は現時点で確認されていないとしている）。
- 銀行でも、漏えいした書類画像によるなりすまし口座開設を防ぐため、オンライン口座開設で免許証画像による確認をやめる動きが出ている（京都銀行、りそな）。
対策
- 保持期間を決めて消す: 確認結果（確認日時・確認方法・書類種別・確認者など）だけを残し、画像そのものは確認完了後に削除する。法令で保存が必要なものは、必要な項目と期間だけに絞る。退会者のデータも期限で自動削除する。
- 保存先は非公開にする: オブジェクトストレージのバケットは公開アクセスを禁止し、CDN を前段に置く場合もオリジンへの直アクセスを塞ぐ。
- 配信は認可を通す: 閲覧はアプリのサーバーで権限確認したうえで、数分で切れる署名付き URL を発行するか、サーバーが中継する。オブジェクトのキーに連番や推測しやすい名前を使わない（ただしランダムなキーは認可の代わりにはならない）。
- 定期的に外から確かめる: ログインしていない状態で既知のオブジェクト URL を開いて 403 になるか、バケットのポリシーと ACL に公開設定が残っていないかを点検する。
- アクセスログを残す: 書類画像への読み出しは誰がいつ何件取得したかを記録し、短時間の大量取得を検知できるようにする。
注意点
- 「暗号化して保存しているから大丈夫」は、アプリ経由で復号されて読める経路が残る限り不十分。持たないのが一番強い。
- 外部の本人確認（eKYC）サービスに任せる場合も、委託先での保持期間と削除の扱いを契約で確認する。