Equifaxは、Experian、TransUnionと並んで、個人のクレジットヒストリー情報を収集し管理している会社ですが、今回個人情報を保存しているシステムがハッキングされ、アメリカ消費者の1億4300万人の情報が盗まれました。情報流出が起こったのは5月半ばから7月までの期間。個人の姓名、ソーシャルセキュリティ番号、生年月日、住所、運転免許所番号などが盗まれたとしています。また、21万人あまりのクレジットカード番号、18万人あまりのクレジット異議申し立て資料が盗まれ、そのうえイギリスとカナダの消費者も一部が影響を受けています。
どうすればいいか？
アメリカ消費者のほぼ半分近くに影響が及んでいる今回の事件。おそらくこのブログをお読みになっている方の中にも影響を受けている人が多いと思われます。
まずは下のサイトで、自分の個人情報が影響を受けたかどうかをチェックしてみます。
Potential Impactというリンクをクリックします。自分のラストネームとソーシャルセキリティ番号の最後の6ケタを入力して調べますが、これはご自宅の暗号されたWifi環境で行うのが良いでしょう。ソーシャルセキュリティ番号の6ケタというのはかなりの情報ですから、情報流出の２次災害につながらないよう、Public Wifiなどでは行わないようにするのがよいでしょう。
結果は２種類で、情報流出の影響があったと思われるか、影響はないかの答えが出てきます。
影響があった場合：
影響がなかった場合：
影響を受けたにせよ、受けないにせよ、現在EquifaxはクレジットモニタリングサービスであるTrustedID Premiereというサービスを無料で提供しています。
TrustedID Premierは現在のところ、１年間無料となっており、無料サービスの申し込みは2017年の11月21日まで受け付けとなっています。サービス内容は、
• Equifaxのクレジットレポート提供
• EquifaxのクレジットレポートにCredit Freezeをかける（適宜必要に応じ、Freeze/Unfreezeがオンラインで操作可能）
• Equifax、,Experian、TransUnionの3社のクレジットヒストリーに対するアクティビティのモニタリング
• インターネット上でのソーシャルセキュリティ番号の不正使用モニタリング
• ＄１ミリオンまでのID Theft保険
です。
そもそも流出を起こすような信頼性の低い会社から提供されているサービスを受けるのはどうかと思うとか、サービスを受けるのには、申し込みフォームに個人情報を入力する必要があり情報管理について危惧されるという意見もあります。賛否両論があるとは思いますが、もしあなたの個人情報が流出の影響を受けたのなら情報はすでに盗まれてしまっているわけで、この申し込みによる再度の情報流出の可能性の大きさと、提供されるクレジットモニタリングによる不正活動のキャッチというベネフィットを比較した場合、私個人的には後者のベネフィットのほうが大きいのではないかと思います。悪い言い方をすれば、Nothing more to loseということでしょうか。
情報流出のニュースが流れてから数日間は、このTrustedID Premiereのフリーサービスに申し込むとき同意を求められる契約のなかに、「サービス契約者は、サイバーセキュリティ関係（今回の情報流出含む）について、訴訟を起こす（集団訴訟含む）権利を失うことに同意する」という意味の条項がありました。今回の個人情報流出やその被害に対し、Equifaxを法的に訴える権利を棄権するということです。
この点は大きな非難の対象になり、Equifaxは2017年9月8日この条項を取り除きました。よって今は、TrustedID Premiereのフリーサービスに申し込んでも、集団訴訟に参加する権利はあります。また、もし9月8日以前に申し込んだ場合でも、集団訴訟の権利は守られるとEquifaxのホームページで発表されています。
申し込みに当たっては、Equifaxのサイトにある「Enroll」というリンクから行います。不正なサイトではなくTrusted Premier website (trustedidpremier.com)のサイトであり、ブラウザのアドレスバーには、緑のSecure lockがついていることを確認しましょう。
TrustedID Premiereだけでは心もとないという場合は、LifeLockなどの他のサードバーティのモニタリングサービスも考慮するとよいでしょう。
その他すべきこと
Equifaxだけでなく、他２つのクレジットヒストリー会社のクレジット情報にも、Credit Freezeか、少なくともFraud Alertを掛けるとよいと思います。個人情報を得た不正使用者は、簡単に個人になりすましてローン口座を開いたり、クレジットカードをつくったりできますが、このとき、ローン会社やクレジットカード会社が、３つある会社のうちどこにクレジットヒストリー照会（インクワイアリ）を行うかは、個人消費者にはわかりません。よって、３つすべてのヒストリ会社に対して、Credit Freezeをかけ、インクワイアリを一切受け付けない状態にしておくのが最も安全です。Credit Freezeは州によってはお金がかかります。また本当に本人がローンやカードを申し込みたいときにも、インクワイアリが受け付けられないという状況にもなりますが、その場合は、Unfreezeの手続きをすれば大丈夫です。Unfreezeには時間と手間と（場合によっては）費用がかかりますが、この際多少の不便はあっても、被害を防ぐ方が優先かと思います。どうしてもFreezeはtoo muchだという場合には、Fraud Alertといって、不正使用の可能性があった場合に事後報告してくれるサービスもあります。
クレジットレポートを守る - Fraud Alert と Credit Freeze
また、 annualcreditreport.com などの無料のクレジットレポートチェックサービスや必要に応じ有料サービスを使ってでも、クレジットレポートをチェックするのも必要です。レポートの内容は必ずしもリアルタイムでないこともあるので、Credit Freezeを掛けるタイミング以前に不正使用があってもまだレポートに掲載されていないものもあるかもしれません。ある程度の期間はチェックを続けるのが好ましいでしょう。
あなたのクレジット レポートは大丈夫？ - 定期チェックの必要性
また、すでに開いてあるクレジットカード口座や銀行口座などの活動はクレジットヒストリーには載ってきません（クレジットヒストリーのチェックで確認できるのは新規開設のみです）。クレジットカードやデビットカードなど、既存口座の不正使用は、それぞれのオンラインサイトなどでモニターするより手がありません。クレジットカード会社や銀行が提供している、不正の可能性が高いアクティビティや一定額以上の取引に対してアラートをしてくれるサービスをONにして、不正使用があったときにはすばやく見つけられる体制をとりましょう。不正使用があっても、全額すぐに自分の負担とはならないように消費者を保護する法律がありますから、過度に心配する必要はありません。
最近ではタックスリターンを本人になりすまして行い、リファンドマネーを着服するという詐欺も非常に増えています。ソーシャルセキュリティや住所が盗まれていますので、この詐欺に使われる可能性も高くなります。タックスリターンはなるべく早めにするに越したことはないかと思います。
また消費者の不安な気持ちを利用して、Ｅメールや電話を使って、サービスやヘルプを受けるために個人情報を盗もうとするフィッシング詐欺などや悪質ないたずらの可能性が高まります。メールのリンクをクリックしてウィルスに感染されたり、個人情報を提供したりすることのないよう気をつけましょう。今回はひとりの個人について多くの情報が同時に盗まれたため、それらの情報をうまく盛り込んだメールなり電話なりを仕掛け、いかにも消費者の味方という立場をかもしだしながら、さらに個人情報を提供するよう呼び掛けたり、高価なサービスや商品を売ったり、お金を出させたりということが簡単にできるようになります。銀行や金融会社、政府機関やその他のサービスプロバイダーを装って、コンタクトしてくる可能性もありますから、簡単に信用してしまわないよう気をつけるのが肝要でしょう。
やるだけやったら、あとは心配しても仕方がないので、過度に心配せずに暮らすことにいたしましょう！
ほぼ全ての買い物をカードで済ませているので、この１０年で４－５回の不明なチャージがあり、毎朝カードと銀行のアカウントをすべてチェックするのを日課にしています。
先月覚えのない（遠方の）タイヤ販売店からのチャージを発見し、すぐ電話をして新しいカードにしてもらいました。
そのときはこのことと結びつかなかったのですが、記事のリンクで見ると、やはりmay have been impactedとでてしまったので、迷いましたがお勧めの言葉にも納得したのでEnrollしました。 Noticeをありがとうございました！
10年で４-5回ですか。。私も考えてみればそのくらいかもしれません。避けては通れない悲しい事実ですね。。
いつも有益な情報を拝見させていただいています。
今回のEquifaxの件かなり痛いですよね。Credit Bureauがこんな杜撰なセキュリティだったのは勿論のこと、同社の対応のいくつかに不信感と怒りさえ覚えます。
（→TrustedIDの同意条項にこそっと仕込んでいる件だけではなく、7月末にインシデントは発覚していたはずだけど9月まで公表を控えていた件＝ハリケーンで米国が騒いでいる隙にどさくさ紛れでリリース。さらに、一部幹部はインシデント判明後の8月上旬に株やストックオプションを売り抜けた件＝これにはSECもガサ入れ）
このTrustedID Premiereのフリーサービスも一年間だけで、リークした情報なんて無期限有効なものだったりするので一年後に不正利用される可能性なんて幾らでもありますし。
まあ、とは言いながら日常でもSSNとか個人情報の不正利用は普通に考えられますね。身近な例でいえば大家が家貸すときに出してもらうApplicationにはSSNとかいろんな情報入ってますがこんなのも素人で幾らでも悪用できそうです。（だからと言って私は勿論そんなことしませんけど。。。）
いづれも今回記載されているとおりに、普段から定期的にモニターしておいて不穏な動きがないかをチェックすることが対策かと思います。
まったく同感です！クレジット情報というのは、私たちのトップシークレット的な個人情報なのに、それを本人の同意もなく”勝手に”集めておいて、しかもそれを売って商売しておいて、そのうえ管理が不完全でこのような事態がおきたのに、責任者たちは持ち株を早々と売って、しかも事件についての公表には1か月半もかかるとは、本当にひどい話です。公表後も何人もキーパーソンが辞めており、意義ある対応ができるのかにも疑問が残ります。これを契機に、集団訴訟などを通して消費者の権利がもっと守られるようなシステムがつくられることを望みます。