2026年はサイバー攻撃や情報漏洩のニュースが後を絶たない。
利用者情報がどうしても必要な場合は存在するし、レンタカーなどは無免許の人にレンタルするわけにもいかないだろう。
ＡＩやスキルがどんどん進化し、できないことができるようになってきたからこそ起こり得る問題だと思う。
個人情報をお預かりする意味
先ほども書いたように、免許など資格を取得していなければ使えないサービスが存在する。個人情報の登録なしでサイトを経由してレンタカーを借りることは、無免許の人かもしれない人にまで貸す可能性も出てしまう。そして、誰でも書き込めたり利用できるサービスは、どうしてもサイト自体の治安が悪くなりやすい傾向がある。法的な問題が絡む可能性もあるため、何か起こった際には登録情報などを辿って、お伺いを立てる場合も想定される。
目に見えない相手に対しては、心無いことも平気で言えるし、匿名であれば【特定されないだろう】と思い込み、好き放題書き込むケースも少なくはない。正しく使えば大変便利なシステムなのに、それを悪用・ただの憂さ晴らしとして使われるのは、サイト開発者や運営者の想いが強いほど、本来目指している形と異なる方向性へ行ってしまったら悲しいだろう。ある程度の個人情報をお預かりすることは、これらに対する抑止力としても効果を発揮すると個人的には考えているので、治安を守り便利に使っていただくためには大切な事であると考えている。
2026年に起こった情報漏洩やサイバー攻撃は？
公表事案の集計では、不正アクセス・ウイルス感染約64％、誤表示・誤送信約20％、紛失・誤破棄約10％。
侵入経路として目立つのは次の4つ。
- 更新されていないソフトの脆弱性（Gyazo、KDDIのゼロデイ等）
- 認証の突破（盗まれたパスワード、多要素認証なしの管理者アカウント）
- 委託先・クラウド経由（自社ではなく預け先から流出。EPARK、Eストアー等）
- 設定不備（LINEヤフーの外部ツールへの意図しない送信、ベネフィット・ワンの条件設定不備）
これに加え、2026年10月は、NICTがアプリ解析からサーバーを狙う「A2B攻撃」への注意喚起を出している。「画面から見えないAPIを直接叩かれる」攻撃が現実的な脅威になっているようだ。
まるふのサイト内容を照らし合わせると可能性として出てくることは？それに対する側の対策
まるふ工事隊自体は、そもそも多くの個人情報をお預かりするシステムではないが、比較的業者様側の情報の方が項目は多い。
近年のハッキングや情報漏洩を想定していたのと、FAQにも記載している通り、どこまで情報をお預かりするかといった点を慎重に考え、お預かりする情報はかなり絞ったサービスにはしている。
- 事業者番号 自動照合の為に入力いただく項目。これはそもそも公開されている内容であり、業者ページにも記載。そもそも情報漏洩問題にはならない。
- クレジットカード FAQにも似たような項目を設けているが、そもそもまるふのサイト自体に情報が残る仕組みにはなっておらず、運営側も満つことができないようにしている。直接決済代行会社へ通信する仕組みにしているため、仕組み上まるふ側からの情報漏洩ができないように設計している。
まるふ工事隊のようなサイトは、画面から見えないAPIを直接叩かれる攻撃に対してはいくつか慎重になるべき項目がある
まるふは個人情報の預かる量こそ少なめだが、利用するにあたって細かく伏字やお客様、業者様によって表示非表示設定や伏字機能を細かく設計している。この点でAPIを直接叩かれる攻撃によって閲覧できる可能性が出てくる。これに対し、APIを直接叩かれる攻撃から最大限守れるよう、画面上で直接データ処理を行うのではなく、サーバー内で処理をし、画面上には処理済みの情報のみが表示されるように設計している。
そもそも運営自身の対策も必要だ。アカウントを乗っ取られたら、どうすることもできなくなってしまう。この辺りも認証関連を強化し、最大限利用してくださる方の情報を守れるようにしている。
まるふ工事隊のシステムだけではなく、世の中のシステムは時代の発展と同時にハッキング能力も上がっているため、絶対安全とは言い切れない。が、常に問題点は探し、改善方法を模索している。
実際に事業者番号だけでは100％の信頼性を担保できているとは言えない。悪用すればできる可能性もあるし、そう考えるとキリがない。結局のところ、システムだけで縛りを設けることだけではなく、利用してくださる人それぞれの節度やマナーがしっかりしていれば、サクラなどは防げるのではないかと考えている。どう工夫すれば困った人をさらに困らせることを防げるかも同時に考えている。
情報漏洩系のニュースが多く、まるふ工事隊は対策をしているのかといった質問も想定したため、今回記載することにした。