「あ、マイナンバーカードがない！」
マイナンバーカードをめぐるトラブルが相次ぐなか、ニッセイ基礎研究所 総合政策研究部の研究員、河岸秀叔（かわぎし・しゅうじ）氏が「マイナンバーカード紛失時に知っておくべきリスクと対処法－芋づる式に情報は抜き出されるのか」を2023年7月14日に発表した。
マイナンバーカードはさまざまな情報に紐づいている。「紛失すれば紐づけた情報がすべて漏洩するのでは......」と不安に思っても不思議ではない。
警察庁の遺失物取扱状況によると、証明書類は日本で最も多く遺失届が受理されているという。この先、マイナンバーカードの交付数の増加とともに、今後の健康保険証との一体化でマイナンバーカードを持ち出す機会が増えれば、カード紛失の増加は避けられない。
「その時」には、どうすればよいのだろう――。
マイナンバーカード紛失で、「なりすまし」「つきまとい」リスクも
マイナンバーカードは、「マイナンバー」（個人番号、住民票コードを変換した12桁の数字）を記載した顔写真付き証明書（プラスチックカード）だ。
社会保障と税、災害時の3つの分野での手続きや情報連携の際、行政や健康保険組合などの公的な性格を有する機関、一部の事業者によって、主に個人の正確な識別（本人確認）のために用いられる、いわば「国民一人ひとりに与えられた背番号」といえる。
マイナンバーカードの個人情報は、（1）表面（2）裏面（3）ICチップの３か所に搭載されている。表面には、氏名・住所・生年月日・性別の基本情報と顔写真、また、電子証明書の有効期限やセキュリティコード、サインパネル領域（改姓など、新情報記載欄）と臓器提供の意思表示欄がある。
裏面には氏名と生年月日に加え、「マイナンバー」が数字とQRコードで表示されている。また、裏面に搭載されたICチップにも、個人情報が格納されている。
つまり、「マイナンバー」は個人の識別を、「マイナンバーカード」はその個人の本人確認を可能にするツールだ。しかも、これまで行政が保有する記録情報でも個人の氏名・住所などが特定できるが、マイナンバーがあれば、極めて正確に個人を識別できるようになった。この点は、従来と大きく異なる。
では、そんなマイナンバーカードを落としたら、どうすればよいのだろう――。
カードの表面には、氏名・住所・生年月日といった基本情報が顔写真付きで記載されているのだから、紛失で個人情報が漏洩すれば、なりすまし（対面）のリスクやストーキング（つきまとい）被害を受ける可能性などが考えられる。
ニッセイ基礎研究所の河岸秀叔氏のレポートによると、対面でのなりすましについては、「目視が間違わないという前提に立ったもので、事実、逮捕された被疑者が他人名義のマイナンバーカードを提示し、なりすまされた人物を誤認起訴した例がある」としている。こうしたリスク自体は否定できない。
マイナンバー「特定個人情報ファイル」にアクセスできる人は？
マイナンバーカードが第三者に拾得されると、個人の「マイナンバー」が特定され、悪用されてしまうリスクがある。
河岸氏はレポートで、こう指摘する。
「問題となるのが、マイナンバーと紐づけた他の個人情報が拾得した第三者に漏洩するのかどうかという点だ。年金記録や口座情報などの情報が第三者に不正に閲覧されれば、マイナンバーカードの紛失は大きなリスクになりうる」
ただ、
「マイナンバーカードだけでは、マイナンバーと紐づいた情報へのアクセスは困難だと考えられる。カードを拾得した第三者が落とし主のマイナンバーを特定できたとしても、マイナンバーは個人を識別する番号に過ぎないため、検索性を持つマイナンバーと個人情報のまとまり（「特定個人情報ファイル」）にアクセスできなければ、基本的に他の情報を引き出しようがないからだ」
という。
こうしたことから、マイナンバーカードを紛失した場合、それを拾得した第三者が特定個人情報ファイルにアクセスできるか否かが、情報の被害を考えるうえで重要なカギを握ることになる。
一方で、マイナンバーカード（裏面の情報）に、どのような人が「特定個人情報ファイル」にアクセスできるのか――。
カードに搭載されているマイナンバーは、個人情報保護法令（個人情報保護法・行政機関個人情報保護法・独立法人等個人情報保護法、その他地方公共団体が定める個人情報保護条例）に優先する番号法（特別法＝「行政手続における特定の個人を識別するための番号の利用に関する法律（平成二十五年法律第二十七号）」）で保護されており、その利用範囲や利用者を厳格に限定している。
マイナンバーを利用できる範囲は、個人番号利用事務または、個人番号関係事務（税・社会保障・災害に関する行政手続のことを指す。2023年６月時点）に指定された事務に限定している。
それを利用する事務実施者（個人番号利用事務）は、行政や健康保険組合などの公的な性格を有する機関で、児童手当や年金給付事務などマイナンバーを取り扱う、行政手続全般の事務が該当する。
また、補助的な事務を行う個人番号利用事務は、主に民間事業者が事務実施者になる。たとえば、自社の従業員に関して、企業が税務署に提出する法定調書へのマイナンバーの記入などが挙げられるという。
人間が取り扱う以上、情報漏洩リスクや悪用の余地はある
もちろん、事務実施者によるマイナンバーの目的外利用は認められていないし、不正利用を排除する対策として、法律はマイナンバーの管理について厳しい制限を課している。
しかし、紛失してしまい、事務実施者に該当する人にマイナンバーカードを拾われれば、「特定個人情報ファイル」から落とし主を特定し、マイナンバーに紐づく情報が漏れ出る可能性がないとはいえない。
不正を排除するためにさまざまな規制が設けられてはいるとはいえ、人間がカードを取り扱う以上、情報漏洩リスクや事務実施者による悪用の余地は常に存在する。
さらに昨今、マイナンバーカードをめぐるトラブルが後を絶えず、カード保有者には「マイナンバーが漏洩すると紐づけた情報が芋づる式にすべて漏洩するのではないか」という不安が広がっている。保有したカードを返却する動きも強まりつつある。
ただ、河岸氏は「紐づけた情報が芋づる式にすべて漏洩するのではなかというのは、誤解がある」と指摘。マイナンバーが洩れたとしても、紐づけた情報が芋づる式に抜き出すことは難しい。
「マイナンバーに紐づく情報は、政府が中央に情報を集めているのではなく、従来どおりの機関が各々情報管理する分散管理の仕組みを採用しているからだ【図1参照】。たとえば、日本年金機構が管理してきた情報にマイナンバーが紐づいたとしても、従来どおり日本年金機構が管理を行う。また、情報連携の際はインターネットと接続しない情報連携ネットワークシステムと呼ばれる回線でやり取りする。こうした仕組みのもとでは、仮にA社・B市・Ｃ組合から、Dという人物の情報を抜き出すには、A社・B市・Ｃ組合各々に不正アクセスし、Ｄの情報を盗み出す必要がある」
マイナンバーが漏洩しても、情報管理の仕組みうえでは芋づる式に漏洩しない建て付けになっているようだ。
マイナンバーカードとパスワードの同時漏洩が「危ない」！
ICチップにはマイナンバーカードの表裏面とほぼ同じ個人情報しか入っておらず、川岸氏はレポートで、「紛失してICチップを読み取られた場合も、さらなる情報漏洩に繋がる可能性は低い」としている。
ICチップは、【図2】の4つのアプリケーションと、空き領域で構成されていて、「JPKI-AP」を用いれば、たとえばマイナポータルへのログインやパスポートの更新手続きなど、本人確認を要する手続きをオンライン上で行うことができる。
こうした仕組みはマイナンバーカードの読み取りとパスワードの入力を求めることで、アクセス者の本人性や申請の真正性を担保している。
川岸氏は、
「このように利便性が高まる反面、第三者にマイナンバーカードとパスワードが同時に漏洩すれば、第三者がオンライン上でなりすましをすることが可能になる」
と指摘。たとえば、マイナポータルに不正にログインされれば、【図3】のような個人情報を取得される恐れがある。
「マイナポータル」へのログインや行政手続きに用いるのは、利用者の証明用電子証明書のパスワード（数字4ケタ、主にログインに利用）と署名用電子証明書のパスワード（英数字６から16ケタ、主に行政手続に利用）の2つ。
不正使用防止のため、利用者証明用の電子証明書のパスワードは３回連続で、署名用電子証明書のパスワードは５回連続で誤入力をするとロックされる。
しかし、生年月日など推測が容易なパスワードでは、パスワードを突破され、なりすまし被害に遭う恐れがある。パスワードはなるべく、第三者にわかりづらいものを設定したほうがよい。
では、マイナンバーカードを紛失して情報漏洩の可能性が認められる場合、どうしたらいいのか――。それは速やかに機能を停止して、マイナンバーの変更手続きを行うことだ。
レポートでは、
（1）マイナンバー総合フリーダイヤル（0120・95・0178）に連絡し、機能の停止手続きを行うこと
（2）警察に遺失届を提出後、受理証・受理番号などを持って役所に行き、再交付・番号変更手続きを行うこと
の2つのステップを踏むよう、促している。
