「個人情報漏えいのお知らせ」というメールが届いたとき、まず何をしますか？

全部のサービスのパスワードを変える？カードを止める？それとも、よく分からないまま放置してしまう？

第1回では、2026年9〜10月に相次いだ漏えい事案と、ニュースの数字の読み方を整理しました。第2回の今回は、「じゃあ自分は何をすればいいのか」 について、我が家の考えをまとめておきたいと思います。

結論から言うと、流出した情報の種類によって、想定される被害も必要な対策も大きく違います。メールアドレスだけの漏えいと、運転免許証の画像の漏えいでは、深刻度がまるで別物です。

1. 流出情報は「種類」で分けて考える

まずは、流出した情報ごとの「主な悪用リスク」と「優先する対策」です。

※情報が漏れたからといって、記載の被害が必ず起きるわけではありません。

カード情報については、番号全体なのか末尾数桁だけなのか、セキュリティコードを含むのかで対応が変わります。公式発表で必ず確認してください。

「ハッシュ化パスワードだから安心」ではない

skyticketの事案では、約413万件にハッシュ化されたログインパスワードが含まれていました（skyticket 公式発表）。

ハッシュ化は、パスワードをそのまま保存するよりずっと安全な方法です。ただし、方式やパスワードの強さによっては、流出データから元のパスワードを推測される可能性があります。変更を求められたら素直に従い、同じパスワードを他で使っていないかも確認しましょう。

「通知が来ない＝安全」とも限らない

調査途中で対象者がまだ特定されていない場合や、過去に退会した人の情報が対象になる場合もあります。一方で、報道された会社の全サービス・全会員が被害に遭ったとも限りません。

確認すべきは、公式発表の 「対象サービス」「対象期間」「対象データ」「続報」 の4点です。

2. 守るべきアカウントの優先順位

家族全員のすべてのアカウントを一度に見直すのは現実的ではありません。共働きで時間がない家庭こそ、優先順位をつけるのが大事です。

基準は「その口座で失う金額」だけでなく、**「乗っ取られたら、他のサービスまで芋づる式に奪われるか」**です。

投資家的に言えば、これは 「リスク×影響範囲」で防御のリソース配分を決める 作業です。証券口座やNISA口座を持っている家庭なら、メールと証券のアカウントは真っ先に守るべき「本丸」です。

我が家のNISA積立方針についてはこちら、こどもNISAと組み合わせた家族単位の使い方はこちらの記事で書いています。長年かけて積み上げた資産だからこそ、入口のアカウントはしっかり守りたいところです。

なお、ログイン権限が小さいサービスでも、本人確認書類や健康情報を預けているなら情報流出のリスクは高い。「アカウントの権限」と「預けている情報の重要度」は、別々に評価しましょう。

3. まず設定しておきたい6つの対策

1. 重要アカウントをパスキーまたは多要素認証で守る。 フィッシングに強いパスキーやセキュリティキーを優先し、非対応なら認証アプリを使います。
2. サイトごとに長くて固有のパスワードを使う。 管理はパスワードマネージャーが便利です。クラウド型・ローカル型それぞれに長所と注意点があり、ローカル型なら別媒体へのバックアップが重要です。
3. 携帯会社のアカウントを守る。 ログイン方法、SIM・eSIM再発行時の認証、契約変更通知を点検します。スマホの「SIM PIN」と「事業者による不正なSIM再発行防止」は別物です。
4. 金融・カードの取引通知をオンにする。 ログイン、出金先変更、送金、カード利用、注文の通知。通知漏れもあるので月1回は明細も確認します。
5. 復旧経路を守る。 古いメールアドレスや使っていない電話番号を復旧先から外し、バックアップコードは安全に保管します。
6. 「漏えいのお知らせ」を装う詐欺に注意する。 メールやSMSのリンクではなく、検索・ブックマーク・公式アプリから直接アクセス。正確な氏名や予約情報が書かれていても、それだけで本物とは判断しないことです。

6番目は特に重要です。漏えいした情報は、そのまま「本物らしい詐欺メール」の材料になります。

ちなみに通販の不正購入も、「配送先が残るから犯人はすぐ捕まる」とは限りません。デジタル商品、ギフトコード、第三者の住所、配送ロッカーなどの経路があるからです。一方でカード会社やEC事業者にも不正検知・補償の仕組みがあり、情報が漏れた＝損失確定、ではありません。

4. 家族単位で考えるポイント

ここは子育て世帯ならではの視点です。

• 夫婦で「家計の本丸」を共有する：メイン口座、証券口座、カードの通知がどちらのスマホに届くかを決めておくと、異変に気づきやすくなります（夫婦の口座の持ち方についてはこの記事で詳しく触れています）。
• 子どものアカウントの「親のメール」を点検する：学習アプリやゲームの登録メールが親のメインアドレスなら、そのメールの防御がそのまま子どものアカウントの防御になります。子どもにスマホを持たせる時期の考え方はこちらもどうぞ。
• 親世代への声かけ：「漏えいのお知らせ」を装ったSMSは、慣れていない人ほど引っかかりやすいもの。「届いたリンクは開かず、公式アプリから確認する」の一言を伝えるだけでも違います。

5. 流出が疑われたら：実行順チェックリスト

最後に、実際に通知が届いたときの手順です。スクリーンショットして手元に置いておくのもおすすめです。

• 企業の公式発表を開き、対象サービス・期間・情報項目・続報を読む
• 自分が対象なら、ログイン履歴・注文履歴・ポイント残高を確認する
• パスワード・認証情報が対象なら変更し、使い回し先も対処する
• 重要アカウントにパスキー・多要素認証を設定し、復旧先を点検する
• カード・銀行・証券・決済サービスの通知と明細を確認する
• 身分証画像が対象なら、信用情報機関の本人申告・開示と事業者への相談を検討する（→第3回）
• 不審な取引や借入があれば、金融機関・カード会社に連絡し、必要に応じて警察・消費生活センターへ相談する
• 流出のお知らせを装った偽メール・SMSのリンクは開かない

まとめ

• 対策は**「流出した情報の種類」で決める**。全部を一律に怖がらない
• 守る順番はメール・金融・携帯・パスワード管理が最優先
• パスキー／多要素認証、パスワードの使い回し防止、取引通知の3つは今日できる
• 漏えい情報は詐欺メールの材料になる。リンクは開かず公式から確認
• 家族で通知の受け取り先と親のメールの防御を見直す

次回は、今回の一連の事案で最も不安が大きかった**「運転免許証の画像が漏れたらどうするか」**を深掘りします。信用情報機関の「本人申告制度」の中身と限界を解説します。

→ 第3回：運転免許証の画像が流出したら？本人申告制度でできること・できないこと

出典・参考資料（2026年10月11日時点で参照）

• IPA 注意喚起（2026年10月9日）
• JPCERT/CC 注意喚起（2026年10月8日）
• skyticket 公式発表
• infoQ 公式発表