Sorabun

セキュリティ

【2026年】相次ぐ個人情報漏えい、何が起きている？ 原因の「事実」と今日やる対策

公開 ・ 読了の目安 約22分 ・ Sorabun 編集部

【2026年】相次ぐ個人情報漏えい、何が起きている？ 原因の「事実」と今日やる対策

タイムズカー、ローソン、焼肉きんぐ、ソースネクスト。2026年9月から、個人情報の漏えいの公表が毎日のように続いています。各社が公表した件数を足すと、延べで1億件を超えました（同じ人が重ねて数えられることもある延べ件数で、「漏えいのおそれ」を含みます）。

この記事では、何が起きているのかを、各社の発表と国の機関（JPCERT/CC・IPA・個人情報保護委員会・金融庁）の資料をもとに整理します。ネットで広まっている「AIのせい」という話は、分かっていることと推測を分けて扱います。

後半では、漏れたときに個人が今日やること、免許証の画像が漏れたときの「本人申告」、そしてWebサイトを持っている人が今日やることまでをまとめます。

1. 何が起きている？ 9〜10月に公表された主な漏えい

公表日 会社・サービス 件数（発表の表記） 発表されている原因
9/11 デジタル庁（業務システムGSS） 約24.6万件 VPN機器の脆弱性
9/16 Gyazo（画像共有） 利用者情報 約2,362万件 画像アップロードサーバーの脆弱性
9/24 EPARK（続報） 約2,218万レコード 公表を控えるとしている
9/28〜29 タイムズカー 約660万件（うち本人確認書類の画像 約160万件） 調査中
10/5 焼肉きんぐ（公式アプリ） 約1,079万件 調査中
10/8 ローソン（ローソンID） 約216万件 アプリで本人に情報を表示する仕組みへの不正アクセス
10/8 第一興商 約872万件（おそれ） 委託先の従業員のパソコンのマルウェア感染
10/9 skyticket 約1,464万件 ―
10/15 ソースネクスト 約2,252万件（可能性） 会員情報を取り出すAPIの不正利用
10/16 ヤマト運輸（クロネコ代金後払い） 約531万件（レコード） ―
10/17 カーセンサー 漏えいの有無は未発表 外部からの不審なアクセスで、全サービスを一時停止

「―」は、この記事を書いた時点で原因の説明を確かめられなかったものです。件数は会社によって数え方が違い、「人数」と「レコード数（データの行の数）」は同じではありません。

タイムズカーでは、免許証などの画像まで

特に影響が大きかったのが、タイムズカー（タイムズモビリティ）です。約660万件のアカウント情報が取られ、そのうち約160万件では、運転免許証などの本人確認書類の画像まで漏れていました（9月29日の第3報）。クレジットカードの情報は含まれていません。

免許証の画像は、本人になりすました口座開設やカードの申し込みに使われるおそれがあります。弁護士が開いた集団訴訟の登録サイトには、10月12日時点で8万人を超える人が登録したと報じられています（共同通信）。免許証の画像が漏れたときの守り方は、7章で紹介します。

原因を書いた発表は少ない

多くの発表は、原因を「調査中」としています。その中で、ソースネクストは「会員情報取得APIを不正に利用」されたと説明しました。APIとは、アプリやサイトの裏側でデータをやり取りするための窓口のことです。画面からは見えない場所が狙われた、ということです。

2. 数字で見る：本当に増えているのか

「急増」と言えるかどうかは、どの数字を見るかで変わります。いくつかの数字を並べます。

Webシステムからの漏えいの公表（マクニカほかの共同分析、10月7日）

年 件数
2024年 62件
2025年 84件
2026年（10月6日まで） 119件（うち81件が7月以降）

月に5件前後だったものが、8月に26件、9月に27件と急に増えました。しかも、7月以降の81件のうち65件（約8割）は、原因の説明が足りないとされています。

国（個人情報保護委員会）への漏えいの報告

上場企業とその子会社の漏えい（東京商工リサーチ、2026年1月）

つまり、「去年1年で急に増えた」わけではなく、2026年の夏以降に、Webシステムを狙った漏えいの波が来ている、と言うのが正確です。

3. なぜ漏れるのか：確認されている手口

国の機関も、10月に入って続けて注意喚起を出しました。

JPCERT/CCが挙げた4つの手口

JPCERT/CCは、寄せられた情報をもとに、次の4つの手口を挙げています（すべての事案が同じ手口だという意味ではない、と断っています）。

  1. 古い脆弱性を探し回る：一つの製品ではなく、標的ごとにいろいろな既知の脆弱性を探して悪用する。脆弱性でなくても、設定ファイルやバックアップファイルを盗む
  2. APIを通じた不正な操作：公開されているスマホアプリを解析して、APIの窓口や鍵を特定する。画面からは操作できない内部のAPIを呼んで、利用者の権限を書き換えたり、勝手にアカウントを作ったりする。ほかのシステムで盗んだAPIの鍵を使う例もある
  3. 社内向けの分析ツール（Metabase）の脆弱性
  4. 公開サーバーに、遠隔操作の裏口（Webシェル）を置く

注目したいのは、お客さん向けのアプリだけでなく、社員向けの管理システムや分析ツールのように、外から大勢に使われる想定のないシステムも被害に遭っている、と書かれている点です。

共通点は「外に開いた入口」

IPAは、特定の製品を狙った攻撃とは断定できないとしたうえで、公表された事例の傾向から、起点は「外部に公開しているアプリケーションやサービスの侵害、アカウントの侵害」だと見ています。

デジタル庁の件はVPN機器（外からつなぐための機器）、第一興商の件は委託先のパソコン、ソースネクストの件はAPIでした。入り方はばらばらですが、どれも外に向かって開いている入口です。

なぜ今、続いているのか

分かっていることを整理すると、次のようになります。

4. 「AIのせい」は本当？ 分かっていることと推測

一連の漏えいでAIが使われた証拠は、まだ無い

ネットでは「AIが攻撃に使われている」という話が広まっていますが、今回の一連の漏えいで、AIが使われたと断定できる痕跡は、まだ公表されていません。

今の時点では、「可能性はあるが、原因とは言い切れない」が正確なところです。

ただし、AIの悪用そのものは起きている

一方で、攻撃にAIが使われた事例は、すでに公表されています。

守る側も、AIで差がつく

IBMの「Cost of a Data Breach Report 2026」（2026年7月）によると、漏えい1件あたりの平均の被害額は、世界で499万ドル、日本で401万ドルでした。

防御にAIと自動化を広く使った組織は、使っていない組織より、平均の被害額が193万ドル少なく、封じ込めまでの期間も65日短くなっていました。

また、Anthropicは、脆弱性を見つける力の強い守り用のAIを「Project Glasswing」という枠組みで、限られた企業や団体だけに提供しています。日本からは日立製作所が参加していますが、一般の企業がすぐに使えるものではありません。

AIのせいかどうかがはっきりしなくても、狙われる入口は同じです。だからこそ、次の章からの基本の対策が効きます。

5. 「自分の情報は自分で守る」発言の前後

10月6日、古川デジタル大臣の「自分の情報は自分で守る」という発言が、批判を集めました。「個人でできることには限度がある」という声です。

ただ、デジタル庁が公開している会見の記録を読むと、大臣はこの言葉の前に、3つのお願いをしています。

  1. パスワードの使いまわしをやめる
  2. 多要素認証を利用する
  3. 不審なメールやSMSのリンクを開かず、公式サイトや公式アプリからアクセスする

そのうえで、「『自分の情報は自分で守る』この意識を持って、被害の防止に向けた取組への御理解と御協力をよろしくお願い申し上げたい」と結んでいます。大臣は10月9日の会見で、これは「二次被害を防止する観点」の呼びかけだったと説明しました。

企業の責任が軽くなるわけではありません。ただ、3つのお願いそのものは、どれも正しい基本です。

6. 日本とEUのルールの違い

日本（個人情報保護法）

EU（GDPR）

日本では、2026年7月に公布された改正法で課徴金の制度が新しく作られました（施行は、公布から原則2年以内）。ただし、課徴金の対象は、不適正な利用や不正な取得、本人の同意のない第三者への提供などです。攻撃を受けて漏れたことそのものは、課徴金の対象に入っていません。

7. 漏れたら、個人が今日やること

まずやる5つのこと

パスワードが「不可逆形式（ハッシュ）で保存されていた」と発表されていても、変えておきましょう。単純なパスワードは、元に戻されることがあります。

お知らせが届いたら、まず本物か確かめる

漏らした会社には、本人への通知が義務づけられています。それに便乗した偽物も届きます。

免許証の画像が漏れたら「本人申告」

あまり知られていない守り方が、**信用情報機関への「本人申告」**です。

お金を借りたり、クレジットカードを作ったりするとき、申し込まれた会社は信用情報機関に照会します。ここに「自分の名前が悪用されるおそれがある」と登録しておくと、審査する会社にそれが伝わります。審査を断る決まりではありませんが、なりすましの契約を防ぐ手がかりになります。

機関 本人申告の手数料 メモ
全国銀行個人信用情報センター ネット500円（マイナンバーカードが必要）、郵送2,403円 免許証などの画像の漏えいも対象と明記
CIC ネット・郵送とも1,000円 登録内容は、提携するほかの機関の加盟会社も審査に使える
JICC スマホで700円 15歳以上の本人のみ（代理は不可）

報道によると、今回は多くの免許の窓口で、漏えいを理由にした再交付を認めています。ただし、変わるのは顔写真と番号の末尾（再交付の回数）だけで、住所や生年月日は変わらないため、効果は限られます。

国も、本人確認のやり方を変える

金融庁は10月9日、金融機関に、免許証の画像に不自然な点がないか、確認を徹底するよう求めました。

また、2027年4月1日から、画像を送るだけの本人確認（オンラインでの口座開設など）は廃止され、免許証やマイナンバーカードのICチップを読み取るやり方に、原則一本化されます。金融庁は、それを待たずに早めるよう求めています。

8. サイトを持つ人が今日やること

今回狙われたのは、大企業だけではありません。会員登録や問い合わせフォーム、ネットショップがあるサイトは、個人情報を預かっています。次のどれかに当てはまったら、今日確かめてください。

JPCERT/CC・IPAの対策を、WordPressに置きかえると

注意喚起の対策 WordPressでやること
既知の脆弱性の修正を当てる 本体・プラグイン・テーマを最新に。使わないものは「削除」
必要のない管理機能を外に出さない／利用地域が限られるなら地域を制限する 管理画面やXML-RPCなど、使わない入口を閉じる。利用者が国内だけなら、国別の制限も有効
環境設定ファイルやバックアップを盗ませない wp-config.php やバックアップのzipを、公開のフォルダに置かない
多要素認証・推測されにくいパスワード 管理者のログインに2段階認証。パスワードは使い回さない
保存期間を過ぎたデータを残さない 古い会員データ・問い合わせの記録を消す
外部サービス・委託先の洗い出し 制作会社や外部サービスのアカウントを棚卸しして、使っていないものは消す

持っていないデータは、漏れません。「念のため取っておく」データを減らすのも、立派な対策です。

基本の対策を一つずつ詳しく知りたい方は、WordPressの保守・セキュリティ対策を徹底解説もあわせてご覧ください。自分のサイトに入っているプラグインやテーマに、既知の脆弱性が無いかは、無料のセキュリティ診断で、URLを入れるだけで確かめられます。

9. もし自分のサイトから漏れてしまったら

  1. 慌てて全部消さない。まず公開を止めて、ログや怪しいファイルの記録を残す（消すと原因が分からなくなり、同じ入口からまた入られます）
  2. 個人情報保護委員会に報告する。攻撃など不正な目的による漏えいは、件数が少なくても報告の対象です。速報は気づいてから3〜5日以内、確報は60日以内
  3. 本人に知らせる。難しいときは、公表などで代える
  4. パスワードを変え、入口を直す。必要なら専門の会社に調査を頼む。IPAは10月16日に「不正アクセス特別相談窓口」を設けています

個人情報保護委員会のサイトには、漏えいしたときの対応の資料（中小企業向けの手引きを含む）がまとまっています。

よくある質問

漏えいのお知らせが届きました。まず何をすればいいですか？

メールのリンクは押さずに、その会社の公式サイトで本当に発表されているかを確かめます。本物なら、そのサービスと、同じパスワードを使い回していたサービスのパスワードを全部変え、2段階認証をオンにしてください。カードの明細の確認もおすすめです。

免許証の画像が漏れたと言われました。何ができますか？

信用情報機関（全国銀行個人信用情報センター・CIC・JICC）に「本人申告」を登録すると、なりすましの契約を防ぐ手がかりになります。手数料は500〜1,000円ほどで、登録は5年間です。あわせて信用情報を開示し、覚えのない契約が無いかを確かめましょう。

今回の漏えいは、AIのせいですか？

2026年10月18日時点で、AIが使われたと断定できる痕跡は公表されていません。可能性を指摘するセキュリティ会社はありますが、その会社自身が「直接示す痕跡は確認していない」としています。ただ、狙われているのは古い脆弱性やAPI、使い回されたパスワードといった「外に開いた入口」なので、AIかどうかにかかわらず、基本の対策が効きます。

小さな会社や個人のサイトでも、漏れたら国への報告が必要ですか？

個人情報を事業に使っていれば、規模にかかわらず個人情報保護法の対象です。攻撃など不正な目的による漏えい（そのおそれを含む）は、件数が少なくても報告と本人への通知が必要になります。迷ったら、個人情報保護委員会のサイトの案内を確認してください。

パスワードは「暗号化して保存していた」と発表されています。変えなくても大丈夫ですか？

変えておきましょう。保存の方法によっては、単純なパスワードは元に戻されることがあります。同じパスワードをほかで使っているなら、そちらも変えてください。

まとめ

出典（2026年10月18日に確認）

ほかのコラム

AI活用 ClaudeからWordPressに記事を書かせる方法｜MCPでつなぐ3ステップと実演【2026年】 AIのClaude（Claude Code）とWordPressをMCPでつなぎ、日本語で頼むだけで記事の下書きを作る方法を、実際の画面と数字で解説。つなぐ3ステップ、約20分で約2万字の下書きができた実演、安全に使う4つの約束、つながらないときの直し方まで。 セキュリティ 【2026年】WordPressの保守・セキュリティ対策を徹底解説！ 2026年はWordPress本体の重大な脆弱性（wp2shell・CVE-2026-87902）が続きました。数字で見るいまの状況、まず5分でできる確認、今日からの基本の対策、保守のスケジュール、乗っ取りのサインと初動まで、一次情報をもとに解説します。

コラムの一覧へ