【Snapmart】本人確認書類の画像が約7年半、URLを指定すれば誰でも見られる状態に（免許証・マイナンバーカードなど）

公表：2026年10月16日

3行でわかるポイント

1. 「Snapmart（スナップマート）」で、クリエイターが提出した本人確認書類の画像が、URLを直接指定すればログインなしで表示できる状態になっていました。
2. 期間は2019年3月ごろから2026年10月8日まで。原因は画像の保存先の設定ミスで、運転免許証・パスポート・健康保険証・マイナンバーカードなどの画像が対象です。
3. 2020年5月以降のログでは画像が取られた形跡はありませんが、それ以前の約1年間は記録がなく確認できていません。

何が起きたか

運営する株式会社CREAVEは、国内外で続くセキュリティ事案を受けて全社で点検をしていたところ、10月7日にこの問題を見つけ、すぐに修正しました。スマートフォンアプリから提出された画像を保存するとき、認証なしで見られる設定が付いていたのが原因です。画像は提出から約1年で自動的に削除される仕組みだったため、見られる状態にあったのは、各クリエイターの提出後およそ1年間の画像に限られます。発覚時点で保存されていた画像も、削除または非公開にしました。

見られる状態だった情報

影響／原因

原因は画像の保存先の設定不備です。保存されている2020年5月以降のアクセス記録を調べた結果、URLを推測して大量に画像を取得した形跡や、第三者が画像を取得した記録は、現時点では確認されていません。ただし、2019年3月から2020年5月までの約1年間は記録が残っておらず、当時の状況は確認できないとしています。不正利用などの被害も確認されていません。同社は個人情報保護委員会に報告しています。

利用者が今すべきこと

1. 対象の人には10月16日中に個別メールが送られています。心当たりがあるのにメールが届かない人は、同社の本件専用問い合わせフォームで確認できます。
2. マイナンバーカードを番号部分を隠さずに提出した場合、画像に個人番号が含まれていた可能性があります。悪用のおそれがあると認められる場合、住んでいる市区町村に個人番号の変更を請求できると案内されています。
3. 心当たりのない契約や請求、不審な連絡に注意してください。同社が本人確認書類の再提出や口座情報・パスワードを尋ねることはないとしています。

私たちが学べること

本人確認書類の画像は、一度漏れると取り消しがききません。サービスに提出するときは、マイナンバーなど不要な部分を隠せるか確認しましょう。事業者側は、審査が終わった画像を速やかに削除すること、クラウドの保存先の公開設定を定期的に点検することが欠かせません。

経過

出典

1. Snapmart「【重要】本人確認書類画像の第三者閲覧の可能性について（Snapmart）」（2026年10月16日）
2. CREAVE「【重要】本人確認書類画像の第三者閲覧の可能性について（Snapmart）」（2026年10月16日）
3. セキュリティ対策Lab（10月18日）

※この記事は公開情報をもとにAIが要約しています。誤りや続報があれば、下の「コメント」またはサイト下部の「問合せ」からお知らせください。