個人情報の漏えいが相次いでいる。何が起きていて、わたしたちは何をすればいいのか

🐾 ごまもち

また、じょうほうがもれたの?🐾

あずき

うん。この1週間で、いくつもの会社が発表したんだよ。

「個人情報が漏えいしました」というお知らせを、最近よく見かけないだろうか。

10月29日から11月3日にかけて、ノジマ、アットコスメ、サントリー、丸井などが、不正アクセスで個人情報が漏れたと発表した。件数を足すと、ざっと2,100万になる。

漏れたのは、名前や住所、電話番号、メールアドレスが中心だ。カード番号は、どの会社も「含まれていない」「持っていない」「漏えいは確認されていない」としている。

でも、それで安心とはいえない。漏れた名前やメールアドレスは、なりすましメールの材料になりうる。受け取った人の名前入りのなりすましメールは、もう出回っている。

1. 何が漏れたのか

発表した会社と、漏れたものを並べると、こうなる。

ノジマは、ネット通販サイトの会員の情報で、暗号化されたパスワードまで含まれている。アットコスメは、肌質や髪質まで含まれる。丸井は、デジタル社債（ネットで申し込む、会社にお金を貸す証書）の管理を任せていた会社が狙われた。

ほかにも、GMOのグループ会社が提供する、会社の社員のIDをまとめて管理するサービスでは、利用している会社の社員など約4万5,000人分の情報が、9年近く外から取り出せる状態になっていた。こちらは侵入ではなく、設定の不備だ。

2. いちばん大きかったのは、名前の知られていない会社

🐾 ごまもち

いちばんたくさんもれたのは、ノジマ?🐾

あずき

ううん。名前を聞いたことのない会社なんだ。

いちばん大きかったのは、アララという会社だ。会社がお知らせメールやメールマガジンを送るときに使う、配信サービスを提供している。ふだん受け取っているお店のメールも、こうしたサービスから届いていることが多い。

アララが11月2日に出した第2報によると、アララのサービスを使う会社（最大約380社）のサーバーから、メールアドレス約7,700万件と、その会社の会員の情報が持ち出された（恐れを含む）。最初の発表で分かっていたのは別の場所の約301万件で、こちらは第2報で約339万件に更新されている。

持ち出しとは別に、10月28日から30日にかけて、アララのサービスそのものが乗っ取られた。クレジットカード会社を装った不審なメールが、最大約713万通送られている。送り主は [email protected]、件名は「利用内容確認のご依頼」「ご利用明細確認のご依頼」などだった。送り先は、攻撃した側が外から持ち込んだメールアドレスだ。

ほかの会社は、二次被害について「確認されていない」か「調査中」としている。アララは、サービスが詐欺メールの送り出しに使われたことまで確認されている。

やっかいなのは、本物の配信サービスから送られたことだ。

ふだん受け取っているお店のメールと同じ仕組みから送られるので、迷惑メールのチェックをすり抜けて、ふつうのメールにまじって届く。ほかのメールと並んで届くと、いつものように対応してしまいやすい。

国民生活センターも9月に、「日頃利用している事業者からのメールもフィッシングを疑って」と呼びかけている。フィッシングは、本物そっくりのメールやサイトで、パスワードやカード番号を入力させる詐欺のことだ。

3. 漏れたあと、何が起きているのか

では、なりすましや不正利用は、いまどのくらい起きているのか。公的機関の数字を見てみる。

フィッシングの報告は減っている。でも、名前入りが出てきた

フィッシング対策協議会への報告は、2026年9月が94,661件だった。2025年9月は224,693件なので、件数は4割ほどまで減っている。

なりすまされた会社でいちばん多いのはAmazonで、約33.2%。Apple（約11.1%）、セゾンカード、アメリカン・エキスプレス、国税庁などが続く。

気になるのは、9月の報告に「メール文面に受信者の氏名が記載されているフィッシングメール」を確認した、と書かれていることだ。漏えいした情報が使われたのかどうかは、分かっていない。ただ、自分の名前で呼びかけられると、本物だと思いやすい。

警察庁も、AIの発達で文章が自然になり、見抜きにくいフィッシングが増えている、としている。

カードの不正利用は、年500億円台

クレジットカードの不正利用は、2024年に555.0億円で過去最多だった。2026年は、1〜6月で221.3億円だった。

その9割以上が「番号盗用」だ。カードそのものではなく、カード番号を盗まれて、ネットで使われる被害のことをいう。フィッシングで入力させられた番号も、ここにつながる。

証券口座の乗っ取りは、ぐっと減った

2025年春には、証券口座が乗っ取られ、勝手に株を売り買いされる被害が相次いだ。金融庁のまとめでは、証券口座への不正アクセスは2025年4月の5,490件がピークで、2026年9月は37件まで減っている。各社が、指紋や顔でログインするパスキーなどを広げた時期と重なる。

証券口座では、被害は減っている。9月は、証券会社を名乗るフィッシングの報告はなかった。一方で、通販やカード会社を名乗るものは、いまも報告の8割以上を占めている。

4. 漏れたら、何をすればいい?

IPA（情報処理推進機構）は、10月26日に「漏えいした際の対処」をまとめている。漏れたものによって、することが違う。

まずは、何が漏れたのかを確かめる。会社からのお知らせや、会社のサイトを見る。ただし、お知らせのメールに便乗した偽メールもある。お知らせが届いても、メールのリンクからではなく、いつも使っているアプリやブックマークから会社のサイトを開く。

ふだんからできること

漏れる前からできることも、公的機関が出している。わたしなりに5つにしぼると、こうなる。

1. メールやSMSのリンクから開かない：ログインするときは、ブックマークか公式アプリから。見覚えのある会社のメールでも同じ
2. パスワードを使い回さない：使い回していると、1つのサービスでパスワードが漏れただけで、同じパスワードのほかのサービスにも入られてしまう。パスワード管理アプリやブラウザの機能を使えば、自分で覚えなくていいので、長くて推測されにくいパスワードを、サービスごとに設定できる。総務省は、漏れていなければ定期的に変える必要はない、としている
3. 多要素認証やパスキーを使う：パスワードのほかに、スマホに届く番号や指紋などでも確かめる仕組み。パスキーは、本物のサイトでしか反応しない鍵を使い、指紋や顔でログインする方法。偽サイトでは使えないので、盗まれにくい
4. カードの明細と利用通知を見る：利用日・お店の名前・金額まで見る。カードを使うたびに知らせてくれる利用通知も、オンにしておく
5. 電話は一度切る：銀行やカード会社を名乗る電話は、いったん切って、カードの裏などにある公式の番号にかけ直す

4つめの明細には、期限の問題もある。不正利用の補償は、届け出の期限がカード会社の規約で決まっている。たとえばJCBは、明細のお知らせから60日以内だ。鹿児島県の消費生活センターには、明細を確認しないうちに、2か月にわたって計70万円の不正利用があり、補償期間の60日を過ぎていて補償されなかった、という相談が寄せられている。

困ったときの相談先は、警察相談専用電話の #9110 と、消費者ホットラインの 188 だ。

5. わたしがしていること

今回の会社は、どれも使っていない。漏えいのお知らせも届いていない。

ただ、仕事で使っているメールアドレスに、お知らせが届いたことがある。デジタル庁が運用する、国の機関向けのシステムへの不正アクセスで、9月に公表された件だ。漏れた可能性があるのは、国の機関の職員や、その仕事に関わった事業者や個人の情報、約24.6万件。わたしも、国の仕事に単発で関わったことがあった。実害は出ていない。

不審なメールは、わたしのところにも届いている。どれが本物かを、メールの見た目だけで見分けるのはむずかしい。

でも、わたしは、クレジットカードを1枚、銀行口座を1つに整理している。そのおかげで、確かめる数が減る。持っていないカード会社や銀行を名乗るメールなら、それだけで関係ないと分かる。

対策は、すすめられていることを全部やるようにしている。先日、パスワード管理アプリの1Passwordにある、使い回しを見つける機能を使って、使い回していたパスワードを全部変えた。証券口座は、パスキーでログインしている。

カードの明細も、いつもよりきちんと見ている。知らない引き落としがないかを確かめる。

ただ、明細には、何の支払いか分かりにくい書き方のものがある。「これ、なんだっけ」となって、思い出すのが面倒だ。もう少し細かく書いてあればいいなぁ、と思う。

アメリカのレーガン大統領が、ソ連のゴルバチョフ書記長と、核兵器を減らす条約に署名したときに紹介したロシアのことわざだ。

冷戦のさなか、2つの国は、相手が約束を守るかを確かめ合う仕組みを条約に入れた。レーガンがこのことわざを口にすると、ゴルバチョフは「あなたは会うたびに、それを言う」と返し、会場に笑いが起きた。レーガンは「気に入っているんだ」と答えている。

信じるとしても、確かめる仕組みは持っておく、という意味だ。

いつ自分の情報が漏れても、おかしくない。というより、もう漏れていると思って行動するほうが賢明だと思う。だから、面倒だけど、やれることは全部やる。自分は大丈夫と信頼せず、確かめる。失ってから後悔しても遅い。

6. まとめ

関連記事

• GMOが身代金を拒否。狙われたのは証券会社ではなく、利用者が「預けた鍵」だった