マイナポータルが個人情報をメールで送信してくる件

calendar 2020-05-19 セキュリティ  
共有する:

目次

はじめに

マイナポータルで特別定額給付金の申請を行ったところ、申請書の控えとして個人情報を含むがメールで自動的に送られてきました。

この仕様は、セキュリティ的に問題がある可能性が高いため、問題点と改善方法をまとめます。

事象と問題点

事象

政府が運営するマイナポータル内にある「ぴったりサービス」では、2020年の新型コロナウイルスの緊急経済対策として決定された「特別定額給付金」など、様々なオンライン申請を行えます。

特別定額給付金の給付に必要な情報や連絡先メールアドレスをサイト上で入力し申請を行ったところ、次の情報が記載されたファイルが申請書の控えとして、連絡先メールアドレスにメールで自動的に送信されてきました。

  • 氏名 (漢字・フリガナ)
  • 住所
  • 生年月日
  • 世帯情報
  • 銀行口座情報 (給付金の受け取り用)
  • 連絡先電話番号
  • 連絡先メールアドレス

サイト上では銀行口座の証拠画像 (※今回はキャッシュカードの写真) のアップロードも行いましたが、その画像ファイルは控えには含まれていませんでした。

問題点

インターネットで電子メールを送受信する場合、送信者から受信者までの通信 (MTA 間の SMTP 通信) は暗号化されているとは限りません。
送信者と受信者の双方が SMTPS や STARTTLS などの暗号化通信に対応している場合にのみ、電子メールの内容は暗号化されて送り届けられます。

現在は、ほとんどのメールサービスや多くの企業のメールシステムが暗号化通信に対応しているように感じていますが、まだ対応していないメールシステムが存在していることも事実でしょう。
もしも、電子メールの暗号化通信が完全に普及しているのであれば、『電子メールで機密情報を送信する際は、添付ファイルを暗号化すべき』といった古くからあるガイドラインは撤廃されていることでしょう。

今回の私の場合、連絡先メールアドレスとして入力した Gmail は暗号化通信による受信に対応しているため、上記の個人情報はインターネット上を盗聴されることなく送られてきました。
しかし、申請者によっては、メールが暗号化されずに送られてきて、インターネット上で盗聴される可能性が存在します。

サービス提供者として取るべき立場

そもそも、電子メールの利用者のうち、自身のメールサービス／システムが暗号化通信に対応しているかどうかを把握している利用者は極めて少数です。

そのため、暗号化通信に対応したメールアドレスのみ登録するように利用者に求めたり、万一インターネット上でメールの内容が盗聴された場合の責任を利用者に押し付けたりすることは、オンラインサービスの提供者としては決して行ってはいけません。

利用者が何も気にしなくても安全に利用できるように、システム側で対応すべきです。

改善方法

1. 受信側が暗号化通信に対応している場合のみ送信する

ぴったりサービスから送信される電子メールは、SendGrid というサービスを用いて送信されているようです。
(受信したメールのヘッダを見るとわかります。)

SendGrid には、メールの受信側が暗号化通信に対応している場合のみ送信するオプションがあるため、これを有効にして利用するというのが改善方法の1つです。

ただし、メールの受信側が暗号化通信に対応していない場合はメールを送信できないため、ぴったりサービスの次の FAQ ページに何かしら記載する必要があるでしょうが、説明が非常に厄介です。

2. メール以外の方法で控えを入手させる

電子メールの通信は暗号化される保証がないため、そもそも電子メールで個人情報を送信しないようにするのが単純な解決方法です。

ぴったりサービスでの申請完了後の画面には、申請書の控えをファイルとしてダウンロードするボタンも用意されており、それを押せば控えを入手できます。
ぴったりサービス自体は HTTPS で暗号化されているため、申請書の内容が盗聴されることはありません。

ただし、申請書の控えをダウンロードし忘れた人のためとして、パスワードを利用者に設定させて一定期間ダウンロードできるようにするといった対応は好ましくありません。
安全なパスワードを利用者に管理させることは簡単ではないですし、個人情報を不用意にオンラインシステム上に置いておくことはリスクの元です。

e-Tax のシステムのように、マイナンバーカードの電子証明書を用いた認証を何度も行うようなデータ送受信のシステムであれば、後からでも申請書の控えを利用者に安全に入手させることができるかもしれません。
ただし、システムのコストが増大するため、後から申請書の控えを入手できるようにすることの必要性を検討して、そのようなシステムが必要なのかを判断することになるでしょう。

おまけ

SendGrid を使ってメールを送信することの是非の議論はあるかもしれません。
国民の個人情報をアメリカにある SendGrid のサーバに渡してしまっているわけですし。

個人的には SendGrid サービスを提供する Twilio は悪ではなく信頼して良い企業であると考えていましたが、今回の件で、SendGrid は日本政府も利用するほど信頼できるサービスなのだなと改めて認識しました。

変更履歴

2020-05-19 00:48 : 初稿
2020-05-19 23:39 : 「マイナポータル」と「ぴったりサービス」を混合していたため、明確に区別するように修正しました。