要約

  • Ofcomが9月に公表したガイドは、英国の通信事業者が現行法の下で詐欺関連データを共有する方法を説明する。包括的な開示義務でも、顧客記録にアクセスする新たな権限でもない。
  • 運用上の課題は、各情報を正確かつ必要な範囲にとどめ、事実・兆候・疑いのどれなのかを明示し、誤りと分かった場合に訂正できるようにすることだ。

詐欺の全体像が一つの事業者に見えるまでには、複数のネットワークや業種をまたぐことがある。通話は卸事業者を経由して小売サービスに届き、銀行を装った後、被害者に別の金融機関への送金を促す。関係者が持つのは、電話番号、異常な通信量、顧客からの申告、受取口座といった断片だ。断片化は検知を遅らせる。一方、断片を結び付ければ、個人や企業に対する疑いが、その根拠となった証拠より速く、広い範囲に伝わる危険がある。

Ofcomは2026年9月、英国の通信事業者向けに詐欺対策データ共有の実務ガイドを公表した。Comms Council UK、英国Home Office、Ofcomが作成し、Information Commissioner’s Office（ICO）も意見を寄せた。Ofcomは事業者にガイドを参考にするよう促している。ただし、組織横断で作成したからといって、新たな法定開示経路や、疑わしい記録をすべて出す義務が生じるわけではない。既存の法的枠組みをどう使い、いつ、何を、どのように共有するかを明確にする文書だ。

法的根拠は同年初めに変わった。Data (Use and Access) Act 2025は、詐欺を含む犯罪の検知、調査、予防に必要な処理について「承認された正当な利益」を追加した。この規定は2026年2月5日に施行された。ガイドによれば、この根拠を用いる事業者は、別途の正当な利益評価を行う必要がない。手続きが一段簡素になるのは確かだ。しかし、どんな個人データでも、どの相手にでも送れるという意味ではない。必要性は法律上の条件であり、データ保護の他の規律も引き続き適用される。

ガイドは、判断を具体的に説明するよう求める。防ごうとしている被害は何か。共有は実際に役立つか。識別性の低いデータでも目的を達成できないか。受領者は適切か。アクセス制限、匿名化、仮名化、共有契約のどれが有効か。何を誰に、なぜ送り、どのような結果を期待するのか。こうした問いに答えることで、「詐欺対策」という一般論を、後から検証できる判断へ変える。

記録では証拠の段階も区別しなければならない。ガイドは情報が正確で最新であり、事実と疑いが明確に分けられていることを求める。通信量の急増、無効な発信者番号表示、顧客の苦情は有用な兆候になり得る。しかし、それだけで誰が起こしたのか、顧客が意図的に関与したのか、企業に責任があるのかは証明できない。説明可能な通知には、誰がいつ何を観察したかを記し、推論と不確実性も示す必要がある。疑いが根拠のないものと判明したら、事業者はその結果を記録し、関係する仕組みを更新するべきだ。

匿名化と仮名化の違いも重要だ。氏名を除いた電話番号リストは匿名に見えても、事業者や受領者が番号を個人に結び付けられるなら個人データのままである。通話パターンを集計しても、別の情報と照合すれば個人が分かる場合がある。ガイドは可能な範囲で識別性を下げるよう促すが、トークン、ハッシュ、集計値を使っただけで、受領者が何を推測できるかという検討を省いてよいとはしていない。

既存の制度を使えば、各社が共有経路を一から設ける必要はない。ガイドは政策・調整、データ共有、運用上の情報窓口を区別し、Cifas、Telecommunications UK Fraud Forum、Cyber Defence Alliance、National Trading Standardsなどを挙げる。補足資料の事例では電話番号、通話記録、ドメイン、悪意あるメッセージの語句などが共有されている。既存の枠組みは受領者や手順を提供できるが、新たな申告を自動的に正しいと認定したり、別会社がどの商業上の措置を取るべきか決めたりはしない。

補足資料の数値は「成果」を慎重に読む必要も示す。ある事例では2025年第4四半期に1,275の番号が利用停止となり、その後も月300～400件が続いた一方、問題自体は増加していた。Cyber Defence Allianceの事例は、音声フィッシングに使われたとされる番号から着信した491社を、監視や調査のため銀行に紹介したと報告する。ただし、そのうち何社が実際に被害を受けたのか、何件の損失を防げたのかは把握していないと明記している。Cifasは、National Fraud Databaseの稼働中案件が200万件、2025年の登録が44万4,000件、会員が報告した節約額が21億ポンドだとしている。

数字は活動量、到達範囲、運用規模を示し得る。しかし共通の分母はなく、損失回避を示す独立監査済みの因果推計でもない。番号停止は処理の実績であり、保護された人数は推計、案件の紹介は被害者の確認とは異なる。会員の節約額も反実仮想を用いた検証ではない。補足資料は稼働中の仕組みを把握する手掛かりであって、各共有経路の効果が等しいことの証明ではない。

ガイドは、個人データ保護だけでは解決しない論点も認めている。競争法と防御権は文書の対象外に残る。詐欺防止の情報共有を、競合会社が商業上の排除を調整する口実にしてはならない。事業者は、詐欺情報の共有と、相互接続や取引を集団で拒む判断を分ける必要がある。非難された事業者には情報を理解し異議を申し立てる道が要る。顧客を誤認した場合は、元の警報を受け取った同じ範囲へ訂正を届けるべきだ。

9月のガイドは、法律、規制機関、通信事業者、銀行、詐欺対策団体、捜査機関から成る既存の仕組みに実務上の接続を加えた。特に小規模事業者にとって、法的・運用上の手順を把握しやすくする点に価値がある。評価の尺度は、文書の公表や交換件数、根拠を限定しない被害防止額ではなく、その後の判断と訂正の質だ。

出典：Ofcomの発表とガイド；事例資料；Data (Use and Access) Act 2025 Schedule 4；施行規則。; ICO の仮名化ガイダンス; 詐欺の予防・調査における個人情報共有に関する ICO ガイダンス; 英国の通信業界詐欺対策憲章; 英国詐欺対策戦略 2026–2029; 通信事業者向け Ofcom ガイダンス PDF