Snapmart(スナップマート)、本人確認書類画像が約7年半にわたり認証なしで閲覧可能な状態に―運転免許証・マイナンバーカードなど対象

写真・動画の販売プラットフォーム「Snapmart（スナップマート）」を運営する株式会社CREAVEは2026年10月16日、クリエイターから受け取った本人確認書類の画像が、URLを直接指定すれば第三者でも認証なしで閲覧できる状態にあったと公表しました。原因は、スマートフォンアプリからアップロードした画像の保存先に付与されていたアクセス設定の不備です。

設定不備が存在した期間は2019年3月頃から2026年10月8日まで。ただし、画像は提出後約1年で自動削除される仕組みで、個々の画像が約7年半公開され続けていたわけではありません。運営会社は、保存されていたアクセスログから第三者による画像取得を示す記録は確認されていないと説明しています。一方、2019年3月から2020年5月までのログは残っておらず、当時のアクセス状況は確認できません。

Snapmartの本人確認書類画像に関する事案のサマリー

• 公表日は2026年10月16日。運営会社は株式会社CREAVE。
• 2019年3月頃から2026年10月8日まで、本人確認書類画像の保存設定に不備が存在。
• 画像のURLを直接指定すると、ログインなどの認証をせず閲覧できる状態だった。
• 対象書類は運転免許証、パスポート、健康保険証、マイナンバーカードなど。
• 本人確認書類の画像は提出から約1年で自動削除される仕組みだった。
• 10月7日に問題を発見し、システム改修と残存画像の削除・非公開化を実施。
• 2020年5月以降の保存ログの調査では、第三者による画像の取得を示す記録や、URLを推測した大量取得の形跡は確認されていない。
• 2019年3月〜2020年5月はログが保存されておらず、当時の閲覧状況は確認できない。
• メールアドレス、パスワード、銀行口座情報、作品データ、クレジットカード情報は本件の対象外。
• 運営会社は該当者への個別メール送信、専用問い合わせフォーム設置、個人情報保護委員会への報告を実施。

原因はクラウド上の保存設定不備―画像URLを知っていれば認証なしで閲覧可能

CREAVEによると、本人確認書類の画像はスマートフォンアプリで提出された際、認証なしで表示できる状態で保存されていました。画像が検索サイトなどへ自動的に一覧公開されていたとの発表ではなく、画像のURLを直接指定した場合に閲覧できるという問題です。

今回の事案は、外部からシステムへ侵入したことが確認された不正アクセスとは性質が異なります。本人確認書類のような機密性の高い画像を、URLの秘匿性だけに頼って保護できる設計になっていないかが問題となります。

運営会社は国内外のセキュリティ事案を受けた全社的な点検の過程で10月7日に問題を把握し、直ちに改修などを進めました。発表時点で保存されていた対象画像の削除または非公開化も完了したとしています。

第三者に取得された可能性は？　2020年5月以前のログは残存せず

CREAVEは保存されている2020年5月以降の全アクセスログを調査し、第三者が画像を取得したことを示す記録や、画像URLを推測して大量に取得した形跡は確認できなかったと説明しています。現時点で本事案に起因する不正利用の被害も把握していません。

ただし、2019年3月から2020年5月まではログ自体が保存されていないため、第三者がアクセスしていなかったと結論づけることはできません。「閲覧できる可能性があった画像」と「第三者が実際に取得したことが確認された画像」は区別して捉える必要があります。

また、影響対象となるクリエイターの総人数や書類画像の総件数について、10月16日付発表では数値が示されていません。

免許証やマイナンバーカードの画像が漏えいすると何が危険なのか

本人確認書類には、サービスによって氏名、住所、生年月日、顔写真、証明書番号、有効期限などが含まれます。第三者に画像が取得されると、偽造・加工した本人確認書類を用いたなりすまし申込みや、不正な契約を試みる行為の材料になる可能性があります。ただし、画像1枚だけでローン契約やクレジットカード発行が成立するとは限りません。実際には追加の本人確認、信用審査、不正検知などが行われます。

同様のリスクは金融庁も問題視しています。金融庁は2026年10月9日、本人確認書類の画像情報を含む漏えい事案の発生を踏まえ、金融機関に非対面本人確認の見直しやICチップを利用した確認方式への早期移行を促しました。

具体的な悪用シナリオや確認すべき契約の種類は、セキュリティ対策Labの運転免許証や免許証情報が漏えいした場合の悪用シナリオと対策で整理しています。

マイナンバーカードの画像に個人番号が含まれていた場合

CREAVEは、マイナンバーカードの個人番号を隠さずに提出した場合、画像に個人番号が含まれていた可能性があると説明しています。マイナンバー12桁を知られただけで、第三者が直ちにマイナポータルへログインしたり、本人の預金を引き出したりできるわけではありません。一方、顔写真や氏名などと組み合わされることで、本人確認書類としての悪用や、番号漏えいを口実にした詐欺には注意が必要です。

個人情報保護委員会は、個人番号が漏えいして不正に用いられるおそれがあると認められる場合、本人が市区町村へ番号変更を請求できると案内しています（番号法第7条第2項）。番号の漏えいだけで自動的に変更されるわけではありません。

Snapmartで本人確認書類を提出した人が取るべき対策

1. 自分が対象かを公式窓口で確認する

CREAVEは、対象となるクリエイターへ10月16日中に個別メールを送信すると発表しました。ただし、Snapmartのメール配信をすべて停止している人や、登録アドレスを利用できない人には届かない場合があります。

該当期間に本人確認書類を提出した心当たりがある場合は、メールの有無だけで判断せず、公式のお知らせから本件専用問い合わせフォームへアクセスして確認してください。問い合わせでは、提出時期、提出した書類の種類、表裏いずれの画像が対象となり得るかなどを確かめておくと、その後の対応を選びやすくなります。

2. 身に覚えのない契約・請求・不審な連絡を確認する

本人確認書類の画像が第三者に取得された場合に備え、知らないクレジットカードやローンの申込み、携帯電話契約、本人確認の追加手続きを求める連絡などに注意します。通知を受けたことだけを理由に全ての金融口座を解約する必要はありませんが、明細や契約履歴を確認できる状態にしておきます。

CREAVEは、本人確認書類の再提出、口座情報やパスワードの確認、クレジットカード情報の入力をメールや電話などで求めることはないと明記しています。同社を名乗る連絡が届いても、記載されたリンクから機密情報を送らず、公式サイトで案内された窓口を利用してください。

3. 本人確認書類の画像が心配なら信用情報機関への本人申告を検討する

本人確認書類の画像が外部へ出た可能性がある場合、信用情報機関の本人申告制度も選択肢です。JICCは、運転免許証の現物が手元にあっても画像などの情報が流出した場合、「名義の悪用防止」として本人申告コメントを登録できると説明しています。CICや全国銀行個人信用情報センターにも本人申告の手続きがあります。

ただし、本人申告は新規契約を一律に停止する制度ではなく、加盟会社が審査時に参照する情報です。預金口座の開設など、制度の対象外となる取引もあります。被害が確認されていない段階で必須の手続きではありませんが、画像の種類や不正利用への不安に応じて検討できます。

4. 個人番号の不正利用が懸念される場合は市区町村へ相談する

マイナンバーカードの裏面など個人番号が写った画像を提出していた場合は、専用窓口で対象状況を確認したうえで、番号を不正に用いられるおそれがあると考えられるときに住民登録のある市区町村へ相談します。カード現物を紛失していない場合、画像の閲覧可能性だけを理由に直ちにカード機能を停止する手続きとは区別してください。

5. Snapmartのパスワードは今回の発表だけを理由に変更する必要はない

運営会社によれば、メールアドレス、パスワード、銀行口座情報、作品データ、クレジットカード情報は別の管理環境にあり、本件の対象外です。このため、会社は本事案に伴うパスワード変更などは不要と説明しています。もちろん、別の理由で不正ログインを疑う状況があれば、当該サービスで確認・変更してください。

書類別の危険性、各種相談先、本人申告制度の使い方は、個人情報が漏えいしたらどうする？個人向けのリスクと対策でも確認できます。

クラウドに本人確認書類を保存する企業が点検したい項目

今回の事案では、アカウントへの侵入ではなく、画像を保存する際のアクセス権の設定が問題でした。クラウドストレージや画像配信基盤を利用する企業は、匿名アクセスの可否、推測・共有されたURLからの閲覧、アクセス制御付きの配信方式、ログ保存期間、古い提出画像の残存状況を確認する必要があります。

また、審査完了後も本人確認書類の画像を長期間保存する必要があるかを再評価し、削除時期とバックアップ側の取り扱いも明確にしておくべきです。CREAVEは再発防止策として、画像保存・管理方式の抜本的改修、審査完了後の速やかな削除、クラウド環境の定期点検を挙げています。

出典

• 【重要】本人確認書類画像の第三者閲覧の可能性について（Snapmart）―株式会社CREAVE／Snapmart（2026年10月16日）
• 本人確認書類画像の第三者閲覧の可能性について―株式会社CREAVE（2026年10月16日）
• 現下の情勢を踏まえたサイバーセキュリティ対策の強化と各種取引申込等における対応について―金融庁（2026年10月9日）
• 本人への通知事項となっている「その他参考となる事項」について―個人情報保護委員会
• 免許証の現物が手元にあるが画像などの情報が流出した場合の本人申告コメント―JICC
• 本人申告を申し込む―CIC
• 本人申告の手続き―全国銀行個人信用情報センター