個人情報漏えい on Lifeplan Blog

【2026年9〜10月】個人情報漏えいが相次いだ理由｜タイムズカー・ローソン・焼肉きんぐ…「件数」の正しい読み方

Sun, 11 Oct 2026 07:00:00 +0900

「また漏えいのニュース…うちが使っているサービスも入っている？」

2026年9月から10月上旬にかけて、こう感じた方は多いのではないでしょうか。カーシェア、外食チェーンのアプリ、旅行予約サイト、通販、求人サービス、画像共有サービス。日常的に使うサービスで、大規模な個人情報漏えいの公表が立て続けに起きました。

10月8日にはJPCERT/CCが複数の国内組織で相次ぐ不正アクセスへの注意を呼びかけ、翌9日にはIPA（情報処理推進機構）も注意喚起を公表しています（IPA、JPCERT/CC）。

我が家も、アカウントを持っているサービスがありますが、何の連絡もないので、大丈夫なのか、処理がおいつていなくて連絡が来ていないだけなのか、モヤモヤしながら過ごしています。

ただ、ニュースの見出しだけを追っていると「とにかく怖い」で終わってしまいますので、一度冷静になって一次資料（各社の公式発表）を読み比べてみると、同じ「漏えい」でも中身はまったく違うことが分かります。

この記事は全3回シリーズの第1回です。今回は、主な事案を整理したうえで「ニュースの数字をどう読むか」をお話しします。

第1回（本記事）：何が起きたのか、数字の正しい読み方
第2回：流出した情報の種類別にやるべき対策
第3回：免許証画像が漏れたときの「本人申告制度」

1. 2026年9〜10月に公表された主な個人情報漏えい

まずは主な事案です。公表日は「攻撃が起きた日」ではなく、初報・続報が出た日です。

公表日	企業・サービス	公表された規模・情報	公表上の状態
9/15	ムラウチドットコム	約771.7万件。氏名・住所・連絡先等	持ち出しを確認
9/16・9/25	Gyazo（Helpfeel）	約2,362万件のユーザー関連データ、画像メタデータ等	漏えい確認
9/25〜9/29	タイムズカー	約660万アカウント。うち約160万アカウントで運転免許証画像等	取得・漏えい確認
9/29〜10/5	セイコーマートアプリ	会員情報約57万件規模	不正閲覧確認
10/5	焼肉きんぐ公式アプリ	10,788,963件。会員番号、登録名、メール、電話番号	漏えい確認
10/5	infoQ（GMOリサーチ＆AI）	最大948,498件。ポイントの不正交換611件も確認	持ち出し・不正交換確認
10/6	MrMax	最大1,735,154人。会員ID、氏名、メール、電話番号	一部流出確認（人数は最大対象数）
10/6	楽天ドライブ	管理用認証情報の一部が不正取得され、保存情報へアクセス	取得・閲覧確認
10/8	ローソンID	2,155,345件。メール、氏名、登録状況に応じて連絡先・住所等	漏えい確認
10/8	第一興商（ビッグエコー等）	委託先端末のマルウェア感染。約872万件規模が影響するおそれ	実際の外部流出は未確認
10/9	skyticket	約1,464万件。うち約413万件にハッシュ化パスワード	流出確認・一部おそれ
10/9	ブックオフ	最大約643万件の会員情報	漏えい公表（最大対象件数）
10/9	Commune／Commune for Work	推計約30.7万人のコミュニティ会員情報	一部漏えい確認

2026年10月11日時点の各社公式発表等をもとに作成。件数は続報で変わる可能性があります。各社の発表は記事末尾の出典からご確認ください。

このほかにも、9月だけでデジタル庁のGSS、大学、自治体の採用試験システム、ホテルの予約管理システムなど、民間・公的機関を問わず数十件の公表がありました（TMIプライバシー＆セキュリティコンサルティングの9月集計）。

2. 「件数」は「被害者の人数」ではない

ここからが本題です。上の表を見て「合計すると数千万人分が漏れた」と考えるのは、統計の読み方としては誤りです。

理由は3つあります。

単位がバラバラ：「件」「人」「アカウント」「レコード」は同じではありません。1人が複数アカウントを持っていたり、1人分のデータが複数レコードに分かれていたりします。
重複がある：同じ人が複数のサービスを使っていれば、重複して数えられます。
「最大」の数字がある：MrMaxやブックオフのように「最大◯件」とある場合、それは対象になり得る上限で、確定した流出数ではありません。

たとえばGyazoの「約2,362万件のユーザー関連データ」は、必ずしも同数の実人数や、画像ファイルそのものの流出を意味しません（Gyazo 第2報）。

研究の世界では、単位の異なる数値を足し合わせることはまずやりません。ニュースの数字も同じで、「何の単位で、何を数えたか」を確認するのが第一歩です。

3. 「漏えい確認」と「漏えいのおそれ」は別物

もう一つ大事なのが、公表上の状態です。

「不正アクセスを受けた」
「情報が外部に持ち出されたことを確認した」
「漏えいした可能性がある」

これらは同じ意味ではありません。

象徴的なのが第一興商の事案です。委託先端末のマルウェア感染で約872万件規模の顧客情報が影響するおそれがあるとしつつ、実際の外部流出は確認されていないと公表しています（第一興商公式発表）。

逆に、infoQのように実際にポイントの不正交換まで確認されたケースもあります（infoQ 公式発表）。

「件数が多い＝危険」ではなく、「何が、どの段階まで確認されたか」で深刻度を見る。これがニュースに振り回されないコツです。

4. 委託先・共通サービスが被害を広げる

今回の一連の事案でもう一つ見えてきたのが、「共通の基盤」が狙われると被害が一気に広がるという構造です。

会員管理、予約管理、メール配信、採用管理、問い合わせ管理、コミュニティ運営。こうした業務は、多くの企業が同じ外部サービス（SaaS）や委託先に任せています。

たとえばCommuneの事案では、Communeを使って企業ごとに運営されていたコミュニティの会員情報に影響が出ました。家電、住宅設備、食品メーカーなど、名前を聞けば誰もが知る企業のコミュニティも含まれています（Commune 公式発表）。

ただし注意したいのは、これは参加企業の全サービス・全顧客情報が漏れたという意味ではないことです。Commune全体の漏えい会員数は推計約30.7万人で、個別コミュニティの人数を足し上げるのも誤りです。

つまり利用者側から見ると、「自分は◯◯社と直接契約しているだけ」でも、その裏にある委託先経由で情報が出ていく可能性があるということ。自分のパスワード管理がどれだけ完璧でも、企業に預けた情報そのものは守れない。ここは割り切りが必要です。

5. 「AIのせいで漏えいが増えた」はどこまで言える？

最近は「AIで攻撃が高度化して漏えいが増えている」という論調もよく見かけます。

確かにAIは、詐欺メールの日本語を自然にしたり、攻撃の一部工程を効率化したりするのに使われ得ます。しかし、この期間に公表された事案をすべてAI起因とみなす根拠はありません。公表されている侵入経路は、脆弱性の悪用、認証情報の不正取得、委託先端末へのマルウェア感染、誤設定、誤送信など、実にさまざまです。

原因を一つに決めつけるより、どんな経路で漏れても効く「個人側の防御」を整えるほうが、家庭にとってはずっと実用的です。

まとめ

2026年9〜10月、カーシェア・外食・旅行・通販など身近なサービスで漏えい公表が相次いだ
「件」「人」「アカウント」は別の単位。企業をまたいで合計してはいけない
「漏えい確認」と「おそれ」は別物。何がどの段階まで確認されたかを見る
委託先・共通SaaSの侵害で複数社に被害が波及する構造がある
利用者にできるのは、「漏れても重大被害にしない」備え

では、具体的に何をすればいいのか。次回は、**流出した情報の種類別に「本当に優先すべき対策」**を整理します。

→ 第2回：個人情報が漏えいしたらまず何をする？情報の種類別・優先度つき対策

秋は家計の見直しの季節でもあります。お金まわりの総点検とあわせて、アカウントの点検もしておくと効率的です→10月に乗り遅れるな——共働き子育て世帯が「9月中」にやるべき家計総点検リスト

出典・一次資料（2026年10月11日時点で参照）

個人情報が漏えいしたらまず何をする？｜流出情報の種類別・優先度つき対策と家族で使えるチェックリスト

Sun, 11 Oct 2026 07:00:00 +0900

「個人情報漏えいのお知らせ」というメールが届いたとき、まず何をしますか？

全部のサービスのパスワードを変える？カードを止める？それとも、よく分からないまま放置してしまう？

第1回では、2026年9〜10月に相次いだ漏えい事案と、ニュースの数字の読み方を整理しました。第2回の今回は、「じゃあ自分は何をすればいいのか」 について、我が家の考えをまとめておきたいと思います。

結論から言うと、流出した情報の種類によって、想定される被害も必要な対策も大きく違います。メールアドレスだけの漏えいと、運転免許証の画像の漏えいでは、深刻度がまるで別物です。

1. 流出情報は「種類」で分けて考える

まずは、流出した情報ごとの「主な悪用リスク」と「優先する対策」です。

流出情報	主な悪用リスク	優先する対策
メールアドレス、氏名、電話番号	なりすましメール、標的型フィッシング、迷惑電話	公式アプリ・ブックマークからログインし、届いたリンクから認証しない
パスワード、パスワードのハッシュ、認証トークン	アカウント乗っ取り、使い回し先への攻撃	対象サービスと使い回し先の変更、多要素認証・パスキー
運転免許証・パスポート等の画像	なりすまし契約、虚偽の本人確認、二次的な詐欺	公式窓口で流出の有無を確認し、信用情報機関の本人申告を検討（→第3回）
クレジットカード番号・有効期限等	不正決済	カード会社へ連絡、利用通知・明細確認、必要なら再発行
銀行口座情報	口座名義等を使った詐欺、不正手続の試行	金融機関の通知・取引確認、異常があれば相談
宿泊・健康・予約・行動履歴	プライバシー侵害、本人しか知らない情報を使った詐欺	連絡内容が正確でも信用せず、別経路で確認

※情報が漏れたからといって、記載の被害が必ず起きるわけではありません。

カード情報については、番号全体なのか末尾数桁だけなのか、セキュリティコードを含むのかで対応が変わります。公式発表で必ず確認してください。

「ハッシュ化パスワードだから安心」ではない

skyticketの事案では、約413万件にハッシュ化されたログインパスワードが含まれていました（skyticket 公式発表）。

ハッシュ化は、パスワードをそのまま保存するよりずっと安全な方法です。ただし、方式やパスワードの強さによっては、流出データから元のパスワードを推測される可能性があります。変更を求められたら素直に従い、同じパスワードを他で使っていないかも確認しましょう。

「通知が来ない＝安全」とも限らない

調査途中で対象者がまだ特定されていない場合や、過去に退会した人の情報が対象になる場合もあります。一方で、報道された会社の全サービス・全会員が被害に遭ったとも限りません。

確認すべきは、公式発表の 「対象サービス」「対象期間」「対象データ」「続報」 の4点です。

2. 守るべきアカウントの優先順位

家族全員のすべてのアカウントを一度に見直すのは現実的ではありません。共働きで時間がない家庭こそ、優先順位をつけるのが大事です。

基準は「その口座で失う金額」だけでなく、**「乗っ取られたら、他のサービスまで芋づる式に奪われるか」**です。

優先度	対象	理由
最優先	メインのメール、Google・Appleアカウント	パスワード再設定や写真・ファイルへの入口になる
最優先	銀行、証券、カード会社、主要決済サービス	金銭被害や金融情報の改ざんにつながり得る
最優先	携帯電話会社の契約者アカウント	SIM・eSIMの不正再発行でSMS認証を奪われる恐れ
最優先	パスワード管理ツール	多数の認証情報をまとめて扱う
高	通販、旅行、配車、ポイントサービス	登録カード、配送先、ポイント、予約情報を扱う
通常	一般の会員・閲覧サービス	被害は相対的に小さいことが多いが、同じパスワードは使わない

投資家的に言えば、これは 「リスク×影響範囲」で防御のリソース配分を決める 作業です。証券口座やNISA口座を持っている家庭なら、メールと証券のアカウントは真っ先に守るべき「本丸」です。

我が家のNISA積立方針についてはこちら、こどもNISAと組み合わせた家族単位の使い方はこちらの記事で書いています。長年かけて積み上げた資産だからこそ、入口のアカウントはしっかり守りたいところです。

なお、ログイン権限が小さいサービスでも、本人確認書類や健康情報を預けているなら情報流出のリスクは高い。「アカウントの権限」と「預けている情報の重要度」は、別々に評価しましょう。

3. まず設定しておきたい6つの対策

重要アカウントをパスキーまたは多要素認証で守る。 フィッシングに強いパスキーやセキュリティキーを優先し、非対応なら認証アプリを使います。
サイトごとに長くて固有のパスワードを使う。 管理はパスワードマネージャーが便利です。クラウド型・ローカル型それぞれに長所と注意点があり、ローカル型なら別媒体へのバックアップが重要です。
携帯会社のアカウントを守る。 ログイン方法、SIM・eSIM再発行時の認証、契約変更通知を点検します。スマホの「SIM PIN」と「事業者による不正なSIM再発行防止」は別物です。
金融・カードの取引通知をオンにする。 ログイン、出金先変更、送金、カード利用、注文の通知。通知漏れもあるので月1回は明細も確認します。
復旧経路を守る。 古いメールアドレスや使っていない電話番号を復旧先から外し、バックアップコードは安全に保管します。
「漏えいのお知らせ」を装う詐欺に注意する。 メールやSMSのリンクではなく、検索・ブックマーク・公式アプリから直接アクセス。正確な氏名や予約情報が書かれていても、それだけで本物とは判断しないことです。

6番目は特に重要です。漏えいした情報は、そのまま「本物らしい詐欺メール」の材料になります。

ちなみに通販の不正購入も、「配送先が残るから犯人はすぐ捕まる」とは限りません。デジタル商品、ギフトコード、第三者の住所、配送ロッカーなどの経路があるからです。一方でカード会社やEC事業者にも不正検知・補償の仕組みがあり、情報が漏れた＝損失確定、ではありません。

4. 家族単位で考えるポイント

ここは子育て世帯ならではの視点です。

夫婦で「家計の本丸」を共有する：メイン口座、証券口座、カードの通知がどちらのスマホに届くかを決めておくと、異変に気づきやすくなります（夫婦の口座の持ち方についてはこの記事で詳しく触れています）。
子どものアカウントの「親のメール」を点検する：学習アプリやゲームの登録メールが親のメインアドレスなら、そのメールの防御がそのまま子どものアカウントの防御になります。子どもにスマホを持たせる時期の考え方はこちらもどうぞ。
親世代への声かけ：「漏えいのお知らせ」を装ったSMSは、慣れていない人ほど引っかかりやすいもの。「届いたリンクは開かず、公式アプリから確認する」の一言を伝えるだけでも違います。

5. 流出が疑われたら：実行順チェックリスト

最後に、実際に通知が届いたときの手順です。スクリーンショットして手元に置いておくのもおすすめです。

企業の公式発表を開き、対象サービス・期間・情報項目・続報を読む
自分が対象なら、ログイン履歴・注文履歴・ポイント残高を確認する
パスワード・認証情報が対象なら変更し、使い回し先も対処する
重要アカウントにパスキー・多要素認証を設定し、復旧先を点検する
カード・銀行・証券・決済サービスの通知と明細を確認する
身分証画像が対象なら、信用情報機関の本人申告・開示と事業者への相談を検討する（→第3回）
不審な取引や借入があれば、金融機関・カード会社に連絡し、必要に応じて警察・消費生活センターへ相談する
流出のお知らせを装った偽メール・SMSのリンクは開かない

まとめ

対策は**「流出した情報の種類」で決める**。全部を一律に怖がらない
守る順番はメール・金融・携帯・パスワード管理が最優先
パスキー／多要素認証、パスワードの使い回し防止、取引通知の3つは今日できる
漏えい情報は詐欺メールの材料になる。リンクは開かず公式から確認
家族で通知の受け取り先と親のメールの防御を見直す

次回は、今回の一連の事案で最も不安が大きかった**「運転免許証の画像が漏れたらどうするか」**を深掘りします。信用情報機関の「本人申告制度」の中身と限界を解説します。

→ 第3回：運転免許証の画像が流出したら？本人申告制度でできること・できないこと

出典・参考資料（2026年10月11日時点で参照）

運転免許証の画像が流出したら？｜信用情報機関の「本人申告制度」でできること・できないこと

Sun, 11 Oct 2026 07:00:00 +0900

「免許証の画像が漏れたって…勝手にローンを組まれたりしない？」

2026年9月末、タイムズカーは約660万アカウントの情報が不正に取得され、うち約160万アカウントで運転免許証画像等の本人確認書類が含まれていたと公表しました（タイムズカー第3報）。カーシェアは子育て世帯にもなじみのあるサービスだけに、不安を感じた方も多いと思います。

私もこれまでに、アカウントを作成する際に免許証の画像をuploadしたことがある記憶はあるのですが、正直どのサービスだったか記憶が残っていないので、ほとんどの皆さんもの味ような状態ではないでしょうか。。。

パスワードなら変えれば済みます。でも、免許証の住所や生年月日、顔写真は簡単には変えられません。だからこそ、本人確認書類の流出は他の情報とは別枠で考える必要があります。

シリーズ第3回の今回は、この「変えられない情報」が漏れたときの備えとして、**信用情報機関の「本人申告制度」**を中心に解説します。

第1回：2026年9〜10月の漏えい事案と数字の読み方
第2回：流出情報の種類別・優先度つき対策

1. 免許証画像だけで借金は成立する？

まず冷静に押さえておきたいのは、本人確認書類の画像があるだけで、金融機関の融資が当然に成立するわけではないということです。

ただし、なりすまし契約や虚偽の本人確認、二次的な詐欺に悪用される懸念はあります。「必ず被害に遭う」わけでも「まったく心配ない」わけでもない。だからこそ、被害に発展しにくくする備えが意味を持ちます。

2. 本人申告制度とは

日本には主な個人信用情報機関が3つあります。

CIC（主にクレジットカード・信販）
日本信用情報機構（JICC）（主に消費者金融など）
全国銀行個人信用情報センター（主に銀行）

これらの機関には、本人確認書類の紛失・盗難・漏えい等で名義を悪用される心配がある場合に、その旨を「本人申告情報」として登録できる制度があります。

項目	内容
登録期間	原則、登録日から5年間
狙い	ローン・クレジット等の審査で、加盟会社が「名義冒用に注意」という情報を参照できるようにする
受付の例	JICCは本人確認書類の画像を送信してしまったケースも「名義の悪用防止」の例に挙げている。全国銀行個人信用情報センターも、画像データ等が第三者へ漏えいした可能性がある場合の申告を案内している

各機関の公式案内はこちらです。

機関	公式の制度案内
CIC	https://www.cic.co.jp/statements/
JICC	https://www.jicc.co.jp/comment/
全国銀行個人信用情報センター	https://www.zenginkyo.or.jp/pcic/return/

（参考：全国銀行協会本人申告FAQ）

3機関は対象とする業態が異なるので、懸念が強い場合は複数の機関への申告を検討するのが現実的です。

3. 本人申告制度の「限界」も知っておく

ここが一番大事なところです。本人申告制度は万能な遮断装置ではありません。

「信用凍結」ではない：借入を一律に禁止する仕組みではありません。
審査結果を保証しない：加盟会社が追加確認をするかどうか、審査をどう判断するかは各社次第です。
常に照会されるとは限らない：すべての取引で信用情報が参照されるわけではありません。
対象外の取引がある：たとえば預金口座の開設などは、この仕組みの対象外です。

研究者的に言えば、これは「リスクをゼロにする」施策ではなく、「発生確率を下げる」施策の一つです。他の対策と組み合わせて使うものだと考えましょう。

ニュースを見ただけで申告するのはNG

もう一つ注意点があります。具体的な漏えいの根拠がないのに、紛失・盗難を装って申告すべきではありません。

正しい順番はこうです。

利用している企業の公式発表を確認する
自分が対象か分からなければ、公式窓口に問い合わせる
対象だった、または可能性が高い場合に、各機関に受付可否を相談する

4. 信用情報の「開示」で今の状態を確認する

すでに不審な申込みや契約が心配な場合は、各機関の信用情報開示で、登録されている契約情報や申込み記録を確認する方法もあります。

ただし、まだ反映されていない申込みや、そもそも信用情報機関に登録されない取引までは分かりません。「開示して何もなかった＝完全に安全」ではない点は覚えておきましょう。

5. 免許証・パスポート・マイナンバーカードは「別物」

本人確認書類といっても、中身とリスクはそれぞれ違います。

書類	含まれる主な情報	懸念される悪用
運転免許証の画像	氏名、住所、生年月日、免許番号、顔写真	本人確認への悪用
パスポートの画像	氏名、生年月日、顔写真、旅券番号	なりすまし、身元情報の悪用
マイナンバーカードの券面・個人番号	氏名、住所、個人番号、顔写真など	券面画像を使ったなりすまし

マイナンバーについてはよく誤解があります。番号を知られただけで、税や年金などの情報にアクセスできるわけではありません。また、ICチップを使った公的個人認証は、券面の画像だけでは成立しません。一方で、券面画像を使ったなりすましへの警戒は必要です。(マイナンバーはなぜか過剰に叩かれがちな印象がありますが、むしろセキュリティ高い方だと思っています。。)

ですから、本人確認書類の画像流出が報じられたときに「全部の書類をすぐ再発行しなきゃ」と慌てるより、

どの書類の、どの面・どの項目が漏れたのかを確認する
発行機関・金融機関の公式案内に従う

ことが先決です。

「起きてほしくないこと」に備える考え方は、家族のリスク管理全般に通じます。より大きな視点での備えについてはこちらの記事でも書いています。

6. 子育て世帯が今日からできること

最後に、家庭でできる小さな備えです。

免許証画像を預けたサービスを洗い出す：カーシェア、レンタカー、フリマ、ネット銀行、証券口座など。夫婦それぞれで書き出してみると、意外と多いことに気づきます。
使わなくなったサービスは退会を検討する：ただし退会者情報が漏えい対象になった事例もあり、退会＝即削除とは限らない点に注意です。ほとんどのサービスが見かけ上消すだけで、データは残っていることがほとんどじゃないかなと思います。
カード・銀行の通知を夫婦で確認できるようにする：名義冒用の兆候は、身に覚えのない申込みや請求として現れることがあります。

まとめ

免許証画像の流出は、変えられない情報の流出。パスワードとは別枠で考える
画像だけで融資が当然に成立するわけではないが、なりすましの懸念はある
CIC・JICC・全銀協センターの本人申告制度は登録期間原則5年。ただし信用凍結ではない
申告は公式発表で対象と確認してから。ニュースだけで申告しない
マイナンバーは番号だけでは悪用しにくいが、券面画像のなりすましには注意

3回にわたって、2026年秋の個人情報漏えいを整理してきました。一連の事案が示したのは、自分がどれだけ気をつけても、企業や委託先に預けた情報は漏れ得るという現実です。

だからこそ目指すべきは「あらゆる漏えいを防ぐ」ことではなく、「漏れても重大な被害に発展させない」 こと。重要アカウントの乗っ取り防止、不正決済の早期発見、そして本人確認書類流出への備え。この3つを、家族単位で少しずつ整えていきましょう。