AIが声や顔を再現できるようになると、漏えいした氏名や本人確認書類が、相手を信用させる材料として組み合わされるリスクを考える必要があります。ただし、免許証画像だけで本人の声を複製できるわけではなく、パーク24の情報がAI犯罪に使われたことも、今回確認した資料では裏付けられていません。企業には「漏らさない対策」に加え、何を、なぜ、いつまで保管するか、漏えい後に何を説明するかが問われます。
本記事は2026年10月27日確認の公開資料に基づき、事件の事実、訴訟を準備する側の主張、LifeXreesの分析を分けて整理します。個別の被害や法律上の責任を認定するものではありません。
パーク24情報漏えいで確認されたことと、まだ分からないこと
タイムズカーWebシステムへの不正アクセスは、2026年9月25日9時07分に検知されました。これは検知時刻であり、最初の侵入時刻を示すものではありません。会社は翌26日7時25分までの経路遮断などを説明しています。出典：パーク24第1報。
10月23日の第5報では、暗号化された本人確認書類画像について、外部送信の痕跡を確認したものと、アクセスされたものの外部送信の痕跡は確認されなかったものを区別しています。
| 区分 | 第5報の件数 | 読み取れること |
|---|---|---|
| 画像へのアクセスと外部送信の痕跡あり | 1,464,800件 | 外へ送られた痕跡を確認 |
| 画像へのアクセスあり、外部送信の痕跡なし | 891,602件 | 外部送信を確認した区分とは異なる |
| 上記合計 | 2,356,402件 | 全件が外部送信されたという意味ではない |
出典：パーク24第5報・本人確認書類画像の調査結果。同社は公表時点で情報の外部公開・売買の事実は確認していないと説明しています。しかし、外部送信、内容の解読、第三者への販売、個別の不正利用は別々に確認する事柄です。「確認していない」を将来も含む安全保証にはできません。
事件全体の経緯や利用者別の確認事項は、タイムズカーの個人情報漏えいで何が起きたかにまとめています。本稿では、その先の本人確認・保管・救済の課題を扱います。
アルトマン氏の警告は2025年の発言――声だけに頼る本人確認の課題
AP通信が報じたサム・アルトマン氏の警告は、2026年の事件後に出た発言ではありません。2025年7月22日、米連邦準備制度理事会（FRB）の大手銀行の資本規制枠組みに関する会議で、ミシェル・ボウマン氏との対談中に示されたものです。声の特徴による認証や、本人らしく見える音声・映像を金融取引で信用することへの懸念でした。
FRBの公式対談記録（9～10ページ）でも発言を確認できます。これは技術発展に対する警告であり、あらゆる音声認証が突破されたという検証結果でも、パーク24事件への言及でもありません。報道の入口はAP通信の2025年7月22日記事です。
2026年10月の事件を考える際にも、この時間の前後関係を保つ必要があります。以前から指摘されてきた本人確認の課題と、新たな漏えい事件を比較することはできますが、同じ攻撃者や技術が関与したとは結び付けられません。
免許証画像と音声データでは、使われ方が違う
| 情報 | 考えられる悪用 | それだけでは言えないこと |
|---|---|---|
| 氏名・住所・生年月日 | 本人をよく知る相手に見せかける連絡 | 本人の認証や契約が必ず通るわけではない |
| 免許証などの画像 | 不正な本人確認への提出、画像加工の材料 | IC情報や追加認証まで入手したことにはならない |
| 本人の録音 | 似た声を生成し、家族や担当者を装う | 書類画像に声の特徴が入っているわけではない |
| 顔写真・映像 | 偽の映像やプロフィールの作成 | すべての生体検知・本人確認を突破できるとは限らない |
米FTCは、公開された短い音声を使った家族へのなりすましに注意を促し、聞き慣れた声だけで判断せず、以前から知っている連絡先へかけ直すよう案内しています。出典：FTCのAI音声詐欺に関する注意喚起。
米FinCENも2024年11月、金融機関の本人確認を回避するために加工・生成した書類や画像等を使う問題を公表しました。これは米国の疑わしい取引報告などの分析であり、パーク24の漏えい情報を使った犯罪の証拠ではありません。出典：FinCENのディープフェイク詐欺に関する警告。
独自分析：危険なのは「情報を知っている人」を本人とみなすこと
住所を正しく言い、契約先を知り、声も似ている相手から連絡が来れば、信じやすくなります。しかし、それらは本人についての情報であって、その場で本人が意思表示している証明とは限りません。複数の公開情報や漏えい情報が組み合わされる可能性を考えると、確認項目を増やすだけでは不十分です。
例えば、同じ電話の相手に氏名と住所を答えさせても、独立した確認にはなりません。企業は既存の登録経路への確認、端末や取引状況の確認、例外処理時の担当者承認などを、業務のリスクに応じて組み合わせる必要があります。銀行・通信事業者などの手続きはサービスごとに異なるため、「免許証のコピーがあれば何でも契約できる」という理解も正確ではありません。
暗号化されていても、鍵と情報の到達範囲を確認する
暗号化は、権限のない第三者がデータを読みにくくするための対策です。一方、実際の安全性は、使った方式、設定、鍵の保管場所、鍵へのアクセス権限などにも左右されます。暗号化された画像を取得されたことと、読める画像を取得されたことを同じに扱うべきではありません。
パーク24の第5報は、暗号化画像が直ちに読める状態ではないとしつつ、将来的な復元可能性を完全には否定できないと説明しています。今回確認した公表資料では、具体的な暗号方式や鍵の流出有無を評価できるだけの詳細は確認できませんでした。そのため、解読できる年数や成功確率は算出できません。
AIが進歩すれば、適切な暗号が自動的にすべて解けるという意味ではありません。声や画像をもっともらしく生成する技術と、暗号化された元データを復元する問題は分けて考えます。元の画像を読めなくても、別途入手した文字情報を使って相手を信用させる可能性はありますが、それも今回の具体的な悪用を確認した話ではありません。
企業の説明を見る際は、暗号化の有無だけでなく、流出したデータの種類、読める状態のデータも含まれるか、調査で確認できない範囲、利用者に求める対応を確かめます。攻撃に使える秘密を公表する必要はありませんが、利用者の判断に必要な説明まで「安全です」の一言に置き換えないことが大切です。
退会後7年間の保管は、法令の義務か会社のルールか
パーク24は10月16日の第4報で、本人確認書類画像を会員期間中と退会後7年間保有していたのは社内ルールによるものと説明しました。そのうえで登録完了後は画像を保有しない方針に変更し、保有画像は10月末までに削除するとしています。10月27日時点で、削除予定を完了済みと読み替えることはできません。出典：パーク24第4報。
個人情報保護委員会のFAQは、個人情報保護法に一律の保存期間の定めはなく、利用する必要がなくなった個人データは遅滞なく消去するよう努めることを説明しています。出典：個人情報の保存期間に関するFAQ。
このため、帳簿などに別の法令上の保存義務があることと、本人確認書類の画像を丸ごと同じ年数残すことは別に検討します。一方、期間が長いという理由だけで違法と断定したり、事故後の変更を過去の過失の承認とみなしたりすることもできません。
独自分析：保管を減らす際も「何を残すか」の説明が必要
企業が検討すべきなのは、目的を達成するために原本画像が必要なのか、確認済みという記録で足りるのか、特定の紛争や不正対応に必要な記録だけを分けられるのか、という粒度です。「将来使うかもしれない」だけでは、利用者が長期保管の必要性を判断できません。
また、通常業務のデータ削除と、事故の調査・法的手続きに必要な証拠保全は調整が必要です。削除対象、保全する記録、そのアクセス権限と期限を分けて管理する設計が考えられます。第5報にある同一画像を判別する情報についても、具体的な方式は公表資料から断定できません。「画像を削除する」だけで全関連情報が消えると推測しないことが必要です。
利用者側の確認手順は、退会後も個人情報が残る理由と保存期間の確認方法で詳しく扱っています。
集団訴訟の3万～5万円は、確定した賠償額ではない
10月26日の会見報道では、牧野裕貴弁護士が東京地裁へ提訴する方針を示し、本人確認書類画像が漏えいした人は5万円、それ以外は3万円の慰謝料を想定しているとされています。これは請求を準備する側の金額です。10万人超という数字も参加希望の登録者数で、裁判所に提出された原告数ではありません。出典：弁護士ドットコムの10月26日会見報道。
同報道で問題提起されたのは、長期保管の必要性や安全管理の状況です。不審な連絡等の申告は未検証・重複を含むとされ、漏えいとの因果関係が立証された件数にはできません。今回の不正アクセスにAIが使われたことも確認できていません。
牧野法律事務所の訴訟準備サイトでは、登録と委任契約を区別しています。10月27日の確認範囲で、提訴済みと裏付ける資料は確認できませんでした。会社側の当該訴訟方針に対する個別の反論も未確認です。主張の当否は、今後の双方の資料や裁判所の判断を待つ部分があります。
| 金額・段階 | 意味 | 混同しないこと |
|---|---|---|
| 見舞金3,000円相当 | 会社が第5報で示した対応 | 全対象者への裁判上の賠償額ではない |
| 3万～5万円 | 会見で示された慰謝料の請求予定額 | 受け取れる金額や勝訴の保証ではない |
| 登録・委任・提訴 | それぞれ別の手続き | 登録しただけで原告になったとは限らない |
会社の見舞金は、暗号化された本人確認書類画像へのアクセスと外部送信の痕跡が確認された顧客が対象で、支払方法等は第5報時点で検討中です。受領が他の請求にどう影響するかは、提示される合意・申込条件を読まずに断定できません。
過去の裁判から何が分かるか
民法上の不法行為では、故意・過失、権利や法律上保護される利益の侵害、損害とその結び付きなどが問題になります。個人情報保護法上の管理の論点と、個々の利用者への賠償の成立・金額は、同じ一つの判断ではありません。出典：法務省の民法709条に関する解説。
ベネッセの顧客情報漏えいをめぐる最高裁第二小法廷2017年10月23日判決（平成28年〈受〉第1892号）は、プライバシー侵害による精神的損害を十分に審理せず請求を退けた原判決を破棄し、差し戻しました。この判決は、パーク24の責任や一律の慰謝料を決めたものではありません。出典：裁判所公表の判決全文。
漏えいした情報の性質、第三者に渡った状況、管理上の問題、個別の損害などを確認する必要があります。「金銭被害がなければ常に請求できない」「画像が漏れれば必ず5万円」といった単純化は避けましょう。
参加を検討する人は、正式な委任範囲、参加費用、成功報酬、途中終了時の扱い、請求する損害の範囲、和解の意思確認、連絡方法を確認してください。報道に出た予定費用を最終契約条件と思い込まず、通知メールや問い合わせ記録、実際に負担した費用の資料を保管します。
企業に求められるのは、保管・本人確認・事故説明をつなぐ見直し
ここからは公開資料を踏まえたLifeXreesの分析です。個人情報を持つ企業、本人確認を行う企業、AIを提供する企業では管理できる範囲が異なります。どこか一者の対策だけで、なりすましの問題全体を解決できるとは考えにくい構造です。
| 主体 | 見直したい内容 | 確認できる成果 |
|---|---|---|
| 個人情報を保管する企業 | 収集量、保存目的、削除期限、鍵と権限の分離 | 情報ごとの保管台帳と削除・例外記録 |
| 本人確認・送金等を行う企業 | 声・顔・書類だけに依存しない確認、例外時の承認 | 危険度に応じた確認手順と不正検知後の対応 |
| AIサービス提供者 | 同意確認、悪用制限、生成物の識別、通報対応 | 対策の適用範囲と限界を示す説明 |
OpenAIは2024年3月のVoice Engineの試験提供に関する説明で、話者の明示的同意、生成音声であることの開示、透かし、利用監視などを挙げました。これは当時の取り組みであり、2026年のすべてのAI製品に同じ仕組みがあると保証する資料ではありません。出典：OpenAIの合成音声に関する公表資料。
経営面では、事故後の説明にも期限と責任者が必要です。パーク24は第5報で、社外取締役を中心とする外部専門家入りの委員会による検証と、年内の具体的な再発防止策の公表を示しています。今後は設置の表明だけでなく、調査対象、改善項目、完了時期を確認する段階になります。
記者会見の有無だけで対応全体を評価することはできません。今回確認した会社資料では会見の開催実績を特定できず、不開催とも断定しません。Web公表であっても、対象者が自分の状況を理解でき、訂正履歴と問い合わせ先を追えるかが実務上の評価軸です。情報が不明な期間に何をすべきかまで説明できれば、利用者の重複した問い合わせや不要な手続きを減らす助けになります。
利用者が今できることと、次に確認する情報
- 正規の公式サイトから最新報を確認し、自分への通知と対象情報を照合する。
- 氏名や住所を知っている電話でも信用せず、登録済みの連絡先など別経路で確認する。
- 不審なログイン、請求、契約があれば、当該サービスや金融機関の正規窓口へ連絡し、日時と内容を残す。
- 訴訟や見舞金の案内は運営主体と条件を確認し、認証コードや不要な本人確認書類を渡さない。
具体的な行動は、免許証画像が漏えいした場合の確認事項、AIの偽音声・偽動画への対策、情報漏えい通知の真偽確認を状況に応じて参照してください。
次に注目するのは、画像削除の完了報告、見舞金の正式な手続き、追加の調査結果、提訴の有無と対象請求、会社側の見解です。後に悪用が疑われる事案が出ても、個別の証拠と漏えいとの関係を確認します。企業には保管の必要性を説明する責任があり、利用者には情報を追加で渡す前に立ち止まれる確認経路が必要です。
よくある質問
免許証の画像だけで本人の声を作れるのですか？
画像そのものには声の特徴は含まれません。特定の人の音声を複製する問題と、書類の文字・顔写真を悪用する問題は別です。公開録音など別の情報が組み合わされる可能性と、今回それが起きた証拠があるかも区別します。
暗号化されていたなら、もう心配しなくてよいですか？
暗号化は有効な防御ですが、具体的な評価には方式や鍵の管理などが必要です。公表内容から分からない部分を安全とも危険とも決め付けず、対象情報と公式に案内される対応を確認してください。
見舞金を受け取ると集団訴訟に参加できませんか？
受領時の条件や合意内容を確認しないまま、一律には判断できません。請求権の放棄などの文言があるかを確認し、参加を考えている場合は担当弁護士へ具体的な文面を示して相談してください。
会社が画像を削除すれば、外部へ出た画像も消えますか？
社内の画像削除と、第三者が取得したデータの回収は別です。削除方針は今後の保管リスクを減らす措置として確認し、外部送信された情報の状態については調査結果を分けて読みましょう。
