個人情報漏洩が相次ぐ──ヤマト運輸・タイムズカー等の事例、漏れた情報と家族の対策

この記事でわかること

• 2026年9月末から10月にかけて個人情報の漏洩を公表した企業・団体を、公式発表の件数と漏れた情報の種類で一覧にしました。
• 委託先や外部サービスへの侵害が複数の企業に波及した事例と、各社のシステムが個別に侵害された事例があります。公表日だけでなく、侵入の時期と原因も分けて整理しました。
• 漏れた情報の種類ごとに、どんな二次被害が起きるか、自分が対象か確かめる方法、まずやること、家族(高齢の親・子ども)でできる備えを、公的機関とカード会社の一次資料でまとめました。番外編として海外の状況も付けました。

2026年の秋、「個人情報漏洩のお知らせ」が立て続けに届いています。

日本経済新聞は、個人情報の漏洩や恐れを公表した企業の一覧を随時更新しています。2026年10月22日更新時点で、9月28日のタイムズカーから10月22日のカプコンまで、同じ企業の続報を含めて95件の見出しが並んでいました。

この記事では、その一覧を出発点に、各社の公式発表(一次情報)で件数と漏れた情報を確かめ直しました。発表の内容は事案ごとに違います。漏洩を確認したもの、流出の可能性があるもの、暗号化されたデータの外部送信の痕跡があるもの、調査中のものを、できる限り区別して書きます。そのうえで、個人と家族が何をすればよいかを具体的にまとめます。

すでに身に覚えのない請求や不正ログインがある人は、読み進める前に発行会社やサービスの公式窓口へ連絡してください。 緊急でない相談先は、本文の相談先の一覧にまとめています。

2026年秋に何が起きているか──「過去最悪のペース」の中身

まず全体像です。

東京商工リサーチは2026年10月7日、上場企業とその子会社が公表した100万件以上の個人情報漏洩・紛失事故が10月5日時点で10件に達し、2025年通年の6件を上回る「過去最悪のペース」だと発表しました。1,000万件以上の事故は、2012年から2025年までの14年間で計3回だったのに対し、2026年は10月5日までに3回発生しています。東京商工リサーチ「上場企業『個人情報漏えい』、過去最悪ペース」(2026年10月7日)

警察庁の統計では、ランサムウェア(データを暗号化して身代金を要求する攻撃)の被害報告は2025年に226件、2026年上半期だけで123件でした。半期の件数としては統計開始以来の最多です。警察庁「令和8年上半期におけるサイバー空間をめぐる脅威の情勢等について」(2026年9月)

一方、個人情報保護委員会の令和7年度(2025年4月〜2026年3月)年次報告では、民間事業者からの漏洩等報告の処理件数は17,139件で、過去最多だった前年度の19,056件から約1割減っています。個人情報保護委員会 令和7年度年次報告 対象も期間も異なる統計なので、これらから2026年秋の事故の総数や1件あたりの平均規模は判断できません。言えるのは、大規模な事案の公表が続いていることです。

公的機関も連鎖を異例の扱いで受け止めています。

• JPCERT/CC(日本のサイバー攻撃対応の調整機関)は2026年10月8日、「直近2026年9月前後で国内組織における不正アクセスによる個人情報等の漏えい被害が相次いでいます」と注意喚起を出し、攻撃の型を整理しました。JPCERT-AT-2026-0030
• 内閣官房の国家サイバー統括室は10月9日の文書で、「侵入を完全に防ぐことは困難です。」と書いています。国家サイバー統括室「不正アクセスによる漏えい等の事案を踏まえた対応について」
• 個人情報保護委員会は10月7日に大規模な漏えい等事案を踏まえた注意喚起を出しました。
• デジタル大臣は10月6日の会見で、国民に「パスワードを使い回さない」「多要素認証を使う」「不審なメール・SMSに注意する」の3点を求めました。デジタル庁 大臣記者会見(2026年10月6日)

「侵入を完全に防ぐことは困難」と政府が書く以上、利用者側は「漏れない」前提を捨てて、「漏れたときに被害を小さくする」備えに頭を切り替える必要があります。

個人情報漏洩を公表した企業の一覧(主要事例)

日経の一覧は、日付ごとに見出しが並ぶ形式です。ここでは件数が大きいもの、カード・免許証・パスワード・口座・認証情報が絡むものを中心に、各社の公式発表で確かめた数字に置き換えて並べました。全件は日経の一覧で確認してください。

読み方の注意が三つあります。

1. 件数は公表文の単位(件・人)のまま書いています。確認状況は事案で異なります。「漏洩確認」は事業者が流出を確認したもの、「可能性」は流出のおそれを公表したもの、「外部送信痕跡」は外部へ送られた痕跡を確認したもの、「調査中」は範囲の調査が続いているものです。
2. 「公表日」は初報か主要な続報の日付です。訂正があった案件は訂正後の数字です。
3. 日経の見出しで「ソフトバンク系への不正アクセス」とされたJR東日本・JR東海・JR九州・イズミなどは、クラウド事業者IDCフロンティアのランサムウェア被害に起因するもので、同社も各社も10月14〜15日に「外部への流出はなかった」と判断しています。表には含めず、後述の連鎖の節で触れます。

出典は各社の公表文です。主なものを挙げます。タイムズカー 第5報(2026年10月23日)、ヤマト運輸 第4報(10月16日)、焼肉きんぐ、大和証券、infoQ 第2報、HIS、ローソン、第一興商、ブックオフ 訂正版、skyticket 第2報、ディップ、銀のさら、アルカディア、ソースネクスト、バーガーキング、Eストアー 最終報、日本経済新聞社、ファンケル、岩井コスモ証券 詳報(10月21日)、ユミルリンク、日本郵政(PDF)、ふるさとチョイス、富士急ハイランド、コミックシーモア 第4報、リクルート、お名前.com、カプコン、デジタル庁、阪急阪神百貨店(エイチ・ツー・オー リテイリング、PDF)。

表にない企業も多数あります。佐川急便は10月23日の第5報で、流出した可能性のある個人情報を「現時点で最大約5,323万件（重複を含む件数）」と公表しました。送り状の依頼主・届け先、顧客リスト、スマートクラブ会員の氏名・住所・電話番号などが対象で、「特に送り状データには、相当数の重複が含まれているため、対象となる方の実人数を示すものではありません」としています。カード情報とパスワードは含まないと説明しています。佐川急便 第5報 逆に、ニフティは第1報の最大542,513件を第2報で最大18,000件に訂正しました。見出しの数字がそのまま確定値とは限らない、という例です。

傾向1: 「委託先」が1つ破られると、数十社が同時に公表する

一覧の見出しは「〇〇社が漏洩」と並びます。原因欄をたどると、自社が直接攻撃されたのではなく、委託先や外部サービスの侵害が波及した企業が少なくないことがわかります。自社システムが個別に侵害された事案も多く、侵入の時期もまちまちです(HISは2025年12月の検知、Eストアーは5〜8月の侵入で、秋の公表集中と攻撃時期は一致しません)。

上流の侵害元と波及先の対応は、IDCフロンティア 第5報、Studio、Commune、スカラコミュニケーションズ、ユミルリンク、ラクス、アルカディア、NECの公表と、piyologの各事案まとめ(IDCF 10月8日・Commune 10月10日・アルカディア 10月14日・Studio 10月20日・NEC 10月22日)を突き合わせたものです。組織数の集計は企業ではなくpiyologによるもので、影響の可能性を公表した組織を含みます。

日経の見出しにある「委託先への不正アクセス」という同じ言葉の下に、少なくとも4系統(日本コロムビアグループ、i-ask、Commune、Studio)の別々の侵害があります。「メール配信企業」「外部サービス」も、1社を指す言葉ではありません。

利用者にとっての意味は二つです。

• 自分が登録した会社だけ警戒しても足りない。 一度も名前を聞いたことがない基盤に、自分のメールアドレスや問い合わせ内容が預けられています。
• 「この会社は大丈夫だった」も確定しにくい。 IDCフロンティア経由の各社は「漏洩の可能性」を公表した後、同社の判断を受けてJR東海などが「流出の事実は確認されず」と続報を出しました。逆にニフティのように下方修正される例もあり、初報の数字で判断を固めないほうがよいです。

なお、焼肉きんぐ・バーガーキング・ミスターマックス・セコマ・ローソン・ブックオフなど飲食・小売の公式アプリで続いた漏洩については、共通の開発会社や基盤を示す公表は見つかりませんでした。 共通点は「公式アプリの会員管理システム」「API(プログラム同士の接続口)の悪用」という攻撃の型までです。JPCERT/CCの注意喚起も、「すべての事案で同一の攻撃手法が使用されていることを示すものではありません」としています。

傾向2: 何が漏れたのか──情報の種類別に見る

漏れた情報の種類で分けると、心配すべきことがはっきりします。公表文の項目を、被害の深刻さの順に並べます。

今回の連鎖では、氏名・住所・電話・メール・生年月日といった複数の連絡先・属性情報が対象になった事案が目立ちます(企業ごとに項目は異なります。ヤマト運輸の公表項目に生年月日はなく、バーガーキングの住所は都道府県までです)。これらは、それだけでお金が抜かれるわけではありません。しかし、次の節で見るように、詐欺の「本物らしさ」を作る材料として使われます。

個人情報が流出するとどうなる?──確認された被害と、一般的なリスク

「心配」ではなく、公表資料で確認できることを挙げます。ただし、今回の事故に起因すると確認された被害と、関連は不明だが同じ時期に起きている一般的な状況は分けて読んでください。

今回の事故との関連は不明だが、同時期に確認されていること

本名入りのフィッシングメールが確認されています。 フィッシング対策協議会の2026年9月の月次報告は、報告件数が94,661件(前月比約15.0%増)で、「2026年9月はサイバー攻撃による情報漏えいの公表が相次いでおり、これらの情報が今後、不正ログインやフィッシング、詐欺への誘導に使われる可能性があります」と書いています。そのうえで、「各漏えい事故との関連性については不明ですが、メール文面に受信者の氏名が記載されているフィッシングメールが確認されています」と報告しています。フィッシング対策協議会「2026/09 フィッシング報告状況」 「自分の名前が書いてあるから本物」という判断は、もう使えません。

今回の事故に関連して公表されている被害

偽の返金メール、偽の予約確認が届いています。 アバハウスの事案では不正アクセス後に偽の返金案内メールが出回り(FASHIONSNAP、2026年10月3日)、手間いらず経由の宿泊予約情報の漏洩では、宿泊者にWhatsAppやSMSで偽の予約確認が届く二次被害が報告されています(piyolog、2026年9月30日)。

別のサービスへの不正ログイン(リスト型攻撃)が起きています。 日本郵政は「ゆうID」で249アカウントが不正にログインされた可能性を公表し、10月20日から二段階認証を必須にしました。富士急ハイランドは159アカウントで、他所で漏れたID・パスワードを使った不正ログインを確認し、公表文に「当社からパスワードやクレジットカード情報をお尋ねすることはありません。」と書いています。日本郵政、富士急ハイランド

お金が動いた例もあります。 GMOリサーチ&AIの「infoQ」ではポイントが611件・計2,869,500円分、ギフトコードに不正交換されました(同社は全額補填の方針)。GMOの「お名前.com デスクトップクラウド」では、仮想サーバに保存されていたFX取引口座のログイン情報が取得された可能性があり、顧客から口座の不正操作の報告がありました。岩井コスモ証券では攻撃を遮断するまでに5件の不正な約定があり、取引前の状態に戻して顧客負担はありません。ただし同社は「本件は、情報漏洩に起因し不正取引の被害が拡大したものではありません」と説明しており、漏れた情報の流用ではなく、委託先システムの管理機能への攻撃による被害です。infoQ 第2報、お名前.com、岩井コスモ証券 詳報

本人確認書類の画像は、信用情報機関への申告が殺到するほどの影響を出しています。 全国銀行個人信用情報センターは「現在、本人申告のお申込みが大幅に増加しているため、本人確認が完了するまで通常時よりも相当の日数をいただいております」と案内し、JICC(日本信用情報機構)も10月8日に申込集中による遅延を告知しています。全銀協 本人申告、JICC お知らせ(2026年10月8日)

背景にある一般的なリスク

今回の漏洩が原因と確認されたものではありませんが、2025年の特殊詐欺の認知件数は27,832件、被害額は約1,423.1億円で前年から98.0%増え、2025年中に特殊詐欺に使われた電話番号の約75.5%が国際電話番号でした。警察庁 特殊詐欺の認知・検挙状況(令和7年確定値)、警察庁「#みんとめ」 漏れた氏名・住所・電話番号は、こうした詐欺の「名簿」を更新する材料になります。

自分が対象か確かめる方法──通知が来なくても対象のことがある

「お知らせメールが来ていないから対象外」とは言えません。 個人情報保護委員会のガイドラインは、本人への通知が困難な場合に代替措置を認めており、困難な例として「保有する個人データの中に本人の連絡先が含まれていない場合」「連絡先が古いために通知を行う時点で本人へ連絡できない場合」を挙げ、代替措置の例に「事案の公表」と「問合せ窓口を用意してその連絡先を公表し、本人が自らの個人データが対象となっているか否かを確認できるようにすること」を挙げています。個人情報保護委員会 ガイドライン(通則編)3-5-4-5 登録先のメールアドレスが使えなくなっていると、通知を見落とすことがあります。

確認の手順は次の順番が確実です。

1. 使ったことがあるサービスの公式サイトの「お知らせ」を自分で開く。 日経の一覧で名前を見たら、検索結果ではなくブックマークや公式アプリから入ります。
2. 届いた通知が本物かを確かめる。 通知のリンクや電話番号ではなく、公式サイトで同じ発表があるかを見ます。警察庁は「電子メールやＳＭＳ内のリンクを安易にクリックせず、あらかじめ公式サイトを「お気に入り」や「ブックマーク」に登録しておいたり、公式アプリを活用するなどして正しいサイトに接続するようにしてください」と呼びかけています。警察庁 フィッシング対策
3. 流出チェックのツールを使う。 役割が2種類あるので分けて使います。Have I Been PwnedやMozilla Monitorは、メールアドレスが既知の公開漏洩データに含まれるかを検索するものです。GoogleとAppleの機能は、自分が保存したパスワードや認証情報の安全性を点検するものです。

これらは「載っていなければ安全」を保証するものではありません。国内の事故が海外のデータベースに必ず登録されるとは限りません。公式の「お知らせ」を自分で確かめることが基本です。

流出したらまず何をする──情報の種類別の行動表

通知が本物で、自分が対象だとわかったときの順番です。

クレジットカード情報が流出したら

番号の一部だけなら、それで決済はできません。 Eストアーが漏らしたのは先頭6桁と下4桁で、全桁とセキュリティコードは保持していないと説明しています。阪急阪神百貨店やローソンの一部も下4桁です。ただ、「お使いのカード(下4桁〇〇〇〇)で不審な利用があります」というフィッシングの材料にはなります。

全桁+有効期限が漏れたskyticketの対象者は、発行会社への連絡が先です。 同社も明細の確認を呼びかけています。カード会社の補償には届け出期限と対象外条件があり、JCBは「暗証番号やパスワードなどの認証情報が使われた場合」や家族・同居人の利用を補償対象外に挙げています。フィッシングで認証コードまで自分で入力してしまうと、補償されないおそれがあるということです。

skyticketは、ベネフィット・ステーション用の会員ID・氏名・パスワードも流出し、「暗号化に用いる情報も不正に取得されているため、読み取られるおそれがございます」として、同サービスのパスワード変更を求めています。対象者は、同じパスワードを使う他のサービスも変更してください。

利用通知(使うたびに届くメール・アプリ通知)をオンにしておくと、不正利用に早く気づきやすくなります。通知の対象外の取引や遅延もあるので、明細の確認は続けます。

免許証の画像が流出したら

タイムズカーの事案で初めて直面した人が多い問題です。何が起きうるかというと、画像を使って本人になりすまして契約や借入れをされること(名義の冒用)です。できることは三つあります。

1. 信用情報機関への本人申告。 全国銀行個人信用情報センター(KSC)は本人申告を「運転免許証等本人確認書類の紛失、盗難または漏えい等により名義を冒用される可能性がある場合、ご本人からの申告にもとづき…「本人申告情報」を登録して、会員金融機関からの照会に回答するもの」と説明しています。CICは「本人申告（紛失盗難）の手続きで本人確認書類を「盗まれました」と登録することで、会員会社へ注意喚起を行うことができます」、JICCは「運転免許証等の現物は手元にあるが画像など情報が流出してしまった場合も、本人申告コメントの登録は可能です」として「名義の悪用防止」のコメントを案内しています。KSC、CIC、JICC

ただし限界があります。

• 本人申告は機関ごとの制度です。CIC・JICC・KSCのそれぞれに申告するのが確実です。手数料はKSC 500円、JICCはスマホ申込700円・手書き郵送はコメント1種類1,111円(2026年10月22日からスマホとQR付き郵送の受付を一時停止、手書きの郵送は継続)、CICはインターネット申告1,000円です。JICC 郵送、CIC インターネット本人申告
• CICは「CICが本人申告の効力を保証するものではありません」と明記し、KSCは預金口座の開設時には照会されないとしています。審査を止める仕組みではなく、審査の参考情報です。
• KSCは「通常の商取引において本人確認書類の画像等を送付・送信した場合は、受け付けておりません」とも書いています。事業者からの流出が「漏えい等」に当たるかは、各機関に確認してください。
• 2026年10月は申込が集中し、3機関とも処理に時間がかかると告知しています。

2. 免許証の再交付。 静岡県警は「タイムズカーWebサイト」への不正アクセスで画像が漏えいした人を対象に再交付を受け付け、手数料は従来の免許証2,600円・マイナ免許証1,500円・2枚持ち2,700円と案内しています。静岡県警察 お知らせ(2026年10月16日更新) 運用は都道府県で異なるので、住所地の警察に確認してください。再交付で新しくなるのは券面であり、住所・氏名・生年月日は既に相手に渡っています。再交付は万能ではなく、本人申告と組み合わせる位置づけです。

3. 非対面契約の本人確認が変わることを知っておく。 金融庁は2026年10月9日、金融機関に対して非対面の本人確認でICチップの読み取りを活用するよう注意喚起しました。金融庁(2026年10月9日) 画像だけで通る本人確認が減れば、画像流出の悪用は難しくなります。自分が契約するときに「券面の写真を送るだけ」の方式を避ける判断材料にもなります。

相談先の一覧

国民生活センターは、「国民生活センターが、「個人情報を削除してあげる」という電話をすることは絶対にありません」と注意しています。国民生活センター(2024年8月7日) 漏洩の後には、公的機関を名乗る便乗詐欺が出ます。相談先は、自分で調べた番号にかけてください。

家族でできる対策──今日からの9項目

ここからが本題です。漏洩は企業側で起きるので、利用者が防ぐことはできません。できるのは、漏れたときに乗っ取られない・騙されない・損を小さくする備えです。IPA(情報処理推進機構)の「情報セキュリティ10大脅威 2026」個人編には、「インターネット上のサービスからの個人情報の窃取」「インターネット上のサービスへの不正ログイン」「クレジットカード情報の不正利用」「フィッシングによる個人情報等の詐取」が並んでいます(個人編は順位なしの五十音順)。IPA 10大脅威 2026 以下はその全部に効く順に並べています。

1. パスワードの使い回しをやめる(最優先)

今回の連鎖で、パスワードやそのハッシュ値が漏れた事案が複数あります。使い回していれば、漏れた1か所から他の全部に入られます。ゆうIDと富士急の不正ログインは、まさにこの型でした。

IPAは「パスワードを「できるだけ長く」、「複雑で」、「使い回さない」ものとすることを推奨しています」と書き、総務省は「定期的に変更するよりも、機器やサービスの間で使い回しのない、固有のパスワードを設定することが求められます」としています。IPA(2025年8月28日)、総務省 定期変更は不要。使い回しの解消が優先です。

全部を覚えるのは無理なので、パスワードマネージャー(iPhoneの「パスワード」アプリ、Googleパスワードマネージャー、または専用アプリ)に任せます。前節の流出チェック機能も、これらに入っています。家族で手伝うなら、まずメール・銀行・スマホのIDの3つだけ固有のものに変えることから始めます。

2. 多要素認証とパスキーを、重要な口座から順にオンにする

IPAは「「多要素認証」を設定している場合、仮にIDおよびパスワードを不正に利用されても、それだけではログインできないことから、不正ログイン防止に効果があります」と説明し、「パスワードに代わる新たなログイン認証方法として、パスキー…の利用を推奨します」としています。パスキーは、スマホの指紋・顔認証を使ってログインする仕組みで、FIDOアライアンスは「フィッシング、クレデンシャル・スタッフィング、その他の遠隔攻撃の脅威に対する耐性が証明されています」と説明しています。IPA、FIDOアライアンス

不正取引の報告数は大きく減っています。金融庁の集計では、証券口座への不正取引は2025年4月に3,033件(不正アクセス5,490件)でピークを付け、2026年9月は2件(不正アクセス37件)まで減りました。金融庁「インターネット取引サービスへの不正アクセス・不正取引の発生状況」(2026年10月9日更新) この間、証券各社は多要素認証やパスキーの必須化を進めました。金融庁は減少との因果関係を明言していませんが、時期は重なっています。同庁は利用者にも、やむを得ずパスワードを使う場合は「パスワードの使いまわしをしない」ことを求めています。

順番は、①メール ②銀行・証券・決済アプリ ③スマホのApple/Googleアカウント ④通販・ポイント、です。設定したら、スマホを失くしたときの復旧方法(バックアップコードや復旧用の連絡先)も一緒に確認します。

3. 「本名入り・下4桁入り」の連絡を本物の根拠にしない

家族で共有したいルールは一つです。届いたメール・SMS・電話の中のリンクや番号を使わない。 用件は、自分でブックマークした公式サイトか公式アプリで確かめます。

• ヤマト運輸は「ヤマト運輸では、SMS（ショートメール）によるご連絡は行っておりません」と明記しています。ヤマト運輸 FAQ 佐川急便も同様の案内を出しています。
• 警察庁は「金融機関が、ＩＤ、パスワード等をメールやＳＭＳで問い合わせることはありません」としています。警察庁
• Gmailのヘルプは「Gmail がパスワードなどの個人情報をメールで尋ねることは決してありません」と書き、「フィッシングを報告」のメニューを用意しています。Google

9月のフィッシングで悪用されたブランドの上位は、Amazon(約33.2%)、Apple(約11.1%)、セゾンカード、アメリカン・エキスプレス、国税庁でした。フィッシング対策協議会 誰でも使うサービスほど狙われます。

4. メールアドレスを役割で分ける

今回いちばん多く漏れたのはメールアドレスです。1つのアドレスを全部に使っていると、漏れた時点で全サービスの「入口」が知られます。

• 銀行・証券・決済・スマホのIDには、ほかに使っていないアドレスを使う。
• 通販・飲食アプリ・会員登録には別のアドレスを使う。
• iPhoneの「メールを非公開」(iCloud+の機能)を使うと、相手に本来のアドレスを知らせずに登録できます。Gmailの「+記号」で分ける方法は、同じ受信箱に届く整理用の仕組みで、+以降を外せば元のアドレスがわかります。「どこから漏れたか」の目印にはなりますが、別アドレスの代わりにはなりません。

アドレスを分けても、漏洩自体は防げません。狙われたときに重要口座の入口を知られていない、という被害の縮小策です。

5. カード・決済の守り方を決める

• 利用通知をオンにする。 使うたびに届けば、不正利用に早く気づきやすくなります。
• 明細を月に1回は見る。 補償には届け出期限があります(三井住友カードは申告日から遡って60日、JCBは明細通知後60日)。
• ネット登録用のカードを分けるのは一つの管理方法です。番号を止めたときに直す登録先が少なくて済みます。
• デビットは即時引き落とし、補償は上限付きであることを知っておく。りそな銀行のVisaデビットは不正利用補償を年間150万円までとしています。りそな銀行(2023年9月22日時点)
• スマホ決済の補償条件を読む。 PayPayには、第三者による身に覚えのない利用について、審査などの条件を満たした場合の全額補償制度があります。「損害発生日から60日以内の申請」「警察へ被害の届出」が条件で、家族・同居人の利用や、騙されて自分で送金した取引は対象外です。PayPay

カード会社も決済サービスも、家族・同居人による利用は補償対象外としています。家族のカードは本人名義の家族カードにし、利用通知は本人の端末に届くようにします。「子どもが親のカードで」は、補償の面でいちばん弱い使い方です。

6. スマホの迷惑SMS対策と紛失対策をオンにする

電話番号が漏れた人は、SMSが増えます。ドコモの「危険SMS拒否」は、サービス開始時の告知で「お申込み不要 一部のお客さま※2を除き、自動で適用されます」とされ、「SMS一括拒否」「個別番号受信」を設定している人が例外です。契約時期にかかわらず、My docomoで現在の設定を確認してください。ドコモ 開始告知(2022年1月13日)、現行のSMS設定 au・ソフトバンクにも同種の無料フィルターがあります(各社の現行ページで確認してください)。

スマホそのものの紛失対策も、パスワードマネージャーとパスキーをスマホに集めるなら必須です。AndroidはFind Hub、iPhoneは「探す」で、位置表示・遠隔ロック・初期化ができます。失くす前にオンにしておく必要があります。

7. 高齢の親と決めておくこと

特殊詐欺は2025年に件数で32.3%、被害額で98.0%増え、「ニセ警察詐欺」だけで1,005.0億円でした。使われた電話番号の約75.5%は国際電話番号です。警察庁 漏れた氏名・住所・電話番号は、この電話を「本物らしく」します。

• 固定電話の国際電話を止める。 国際電話不取扱受付センター(0120-210-364)で、固定電話の国際電話の発着信を無償で休止できます。警察庁は「国際電話番号（＋から始まる電話番号）や見知らぬ電話番号からの着信は「無視」しましょう」と呼びかけています。警察庁「#みんとめ」
• 番号表示・非通知拒否・常時留守電。 警察庁の特殊詐欺対策ページ「SOS47」が今日からできる対策として挙げています。SOS47
• 「お金・カード・暗証番号・免許証の写真」の話が出たら、一度切って家族にかけ直すと決めておく。警察が捜査の名目で送金やカードを求めることはなく、暗証番号を電話で伝える必要もありません。
• 親が使うサービスの一覧と、通知が届くメールアドレスを、子世代が把握しておく。漏洩のお知らせは親のメールに届き、親はそれを読まないことが多いからです。

8. 子どもの登録情報を減らす

子どものアカウントは、13歳未満ならGoogle ファミリー リンクやAppleのファミリー共有で保護者が管理できます。ここで見直したいのは、学校の連絡網、習い事、ゲーム、飲食店のアプリに、子どもの本名・生年月日・顔写真を入れているかです。家族の情報を登録したサービスも対象になります。銀のさらは、登録した家族の氏名・誕生日が漏洩対象になる可能性を公表しています。任意項目は空欄にし、本名が不要なサービスではニックネームを使う。それだけで、漏れたときの材料が減ります。

9. 「家族の登録台帳」を作り、使わないものは退会する

対策の土台は、どのサービスにどの情報を預けているかを把握していることです。漏洩のお知らせが届かないケースがある(前述の個人情報保護委員会ガイドライン)以上、自分の登録先を知らなければ確認もできません。

家族分の「サービス名・登録メール・預けている情報(住所・カード・免許証画像の有無)・多要素認証の有無」を一覧にします。パスワードは書きません。家族の登録情報 確認シート(CSV)を用意しました。紙に同じ項目を書いても使えます。

一覧ができたら、使っていないサービスは退会し、残すサービスでも保存カードや本人確認書類の画像を消せるものは消します。手順と注意点は、前回の記事使わないアカウントを削除する「Webじまい」にまとめています。退会しても過去の情報が全部消えるわけではない点も、そちらで説明しています。

見舞金・補償はもらえる?

よく検索されている疑問ですが、答えは「事業者ごとに違い、法律で決まった額はない」です。確認できた範囲の実例を挙げます。

• **タイムズカー(パーク24)**は2026年10月23日の第5報で、「暗号化された運転免許証等の本人確認書類画像データへのアクセスおよび外部送信を示す痕跡が確認されたお客様」に「お見舞いとして3,000円相当の現金または金券をお渡しすることといたしました」と公表しました。支払方法は検討中です。タイムズカー 第5報
• GMOリサーチ&AI「infoQ」は、不正交換されたポイントを全額補填する方針です。
• 岩井コスモ証券は、不正注文を取引前の状態に戻し、顧客負担はないとしています。
• 本記事で一次資料を確認した範囲では、2026年10月23日時点で金額を公表しているのはタイムズカーです。続報で変わる可能性があります。

日本では、米国のような集団訴訟の和解で支払われる例は少ないです(番外編で比較します)。見舞金を待つより、前節の備えで実損を防ぐほうが確実です。なお、「お見舞金の受け取り手続き」を名乗るメールやSMSが出てくることは十分に予想されます。受け取りの案内も、公式サイトで確かめてから動いてください。

番外編: 海外はどうなっているか

日本だけの現象ではありません。むしろ「委託先・外部サービス経由」は、世界の統計で裏付けられた潮流です。

第三者経由の侵害は半分に迫っています。 Verizonの「2026 Data Breach Investigations Report」(第19版、145か国・侵害22,000件超を分析)は、「breaches with third-party involvement have increased by 60% from last year’s dataset, reaching 48% of total breaches」(第三者が関与する侵害は前年比60%増で全体の48%)と報告しています。初期侵入の手口は脆弱性の悪用が31%で最多になり、認証情報の悪用は13%に下がりました。ランサムウェアは全侵害の48%に関与しています。Verizon DBIR 2026 エグゼクティブサマリー(PDF)

米国では半年で4.7億件の通知。 米Identity Theft Resource Centerは2026年上半期に1,803件の侵害と約4億7,120万件の被害通知を集計し、2025年通年(2億9,750万件)を半年で超えました。通知数は延べであり人数ではありません。「Supply chain attacks generated 280.6 million victim notices from just 38 initial breach events」(わずか38件のサプライチェーン攻撃が2億8,060万件の通知を生んだ)という記述は、日本の構図と同じです。ITRC H1 2026

1件あたりのコストは過去最高。 IBMの「Cost of a Data Breach Report 2026」(2026年7月29日)は、世界平均の侵害コストを499万ドル(前年比12%増)としています。IBM

2026年の海外の大型事案にも、外部サービス経由が並びます。米医薬卸McKessonは2026年8月、「third-party applications」が関わる侵害を開示しました。攻撃者はSalesforceとSnowflakeの環境へのアクセスを主張し、Snowflakeから約2.84億件のレコードを得たと述べています(攻撃者の主張であり、企業が確認した被害者数ではありません)。英Manchester Airports Groupは約880万件のメールアドレス・電話番号が流出し、報道によると身代金を拒否した後に公開されました。米Oracle Health(旧Cerner)の事案は2025年に発生したもので、盗まれた顧客の認証情報で旧システムに侵入され、2026年にも被害者通知と規模の情報が追加されています。約2,000万人という規模は報道によるものです。McKessonの8-K、BleepingComputer(攻撃者の主張)、SecurityWeek(MAG)、Paubox(Oracle Health)

個人の守り方は、制度の差が大きい。

英国のNCSC(国家サイバーセキュリティセンター)が個人向けに出している助言は、本記事の対策と同じ3点です。「Don’t use the links or contact details in any messages you have been sent.」(届いたメッセージ内のリンクや連絡先を使わない)、「if any of your other accounts use the same password, you should change them as well.」(同じパスワードを使う他のアカウントも変える)、「if available, you could use a passkey instead.」(使えるならパスキーを)。UK NCSC「Data breaches: guidance for individuals and families」

日本の利用者が海外と比べて不利なのは、米国型の、本人の申請で新規与信の多くを止める信用フリーズがないことです。信用情報機関の本人申告や、JICCの貸付自粛制度のような参考情報の制度はありますが、審査を拘束しません。だからこそ、免許証画像の流出は日本では重く、本人申告と非対面本人確認の厳格化(金融庁の10月9日の注意喚起)の両方が必要になります。

よくある質問

Q. 個人情報が流出してしまったのですが、どうしたらよいですか? A. 対象になった情報の種類で行動が変わります。情報の種類別の行動表を見てください。共通するのは「漏れたサービスと使い回し先のパスワード変更」「多要素認証」「届いた連絡のリンクを使わない」の3つです。

Q. 自分が対象かどうか確認できるサイトはありますか? A. 確実なのは、使ったことがあるサービスの公式「お知らせ」を自分で開くことです。国内の事故が海外の漏洩検索サイトに必ず登録されるとは限りません。メールアドレスが公開済みの漏洩データに含まれるかはHave I Been PwnedやMozilla Monitorで検索でき、保存したパスワードの点検にはGoogleのパスワードチェックアップやiPhoneのパスワード監視が使えます。

Q. 免許証の画像が流出したら、何が起こりますか? A. 画像を使ったなりすまし契約(名義の冒用)が懸念されます。信用情報機関3社への本人申告と、住所地の警察への再交付の相談が取れる手段です。本人申告は審査を止める仕組みではなく、効力は保証されません。

Q. クレジットカード情報はどこから流出するのですか? A. 今回の事案では、通販の購入者情報を預かる基盤(Eストアー)、過去の決済ログ(skyticket)、会員情報の表示機構(ローソン)から漏れています。番号の一部だけの事案が多く、全桁が漏れたと公表されたのはskyticketの最大6,140名です。

Q. カード番号の下4桁だけ漏れても危ないですか? A. 下4桁だけでは決済できません。危ないのは、「下4桁〇〇〇〇のカードで不審な利用」と書かれた本物らしいフィッシングです。連絡の真偽は、カード会社の公式アプリか裏面の番号で確かめてください。

Q. 情報漏洩の見舞金やお詫び金の相場はいくらですか? A. 法律で決まった額はありません。本記事で一次資料を確認した範囲では、2026年10月23日時点で金額を公表しているのはタイムズカー(3,000円相当)です。続報で変わる可能性があります。

Q. 退会すれば、預けた情報は消えますか? A. 退会で全部消えるとは限りません。法令上の保存義務などで残る情報があります。詳しくはWebじまいの記事で説明しています。

Q. パスワードは定期的に変えるべきですか? A. 総務省は、流出した事実がない場合の定期変更は不要としています。やるべきなのは、流出したサービスの変更と、使い回しの解消です。

Q. 今回の連鎖で件数が最も大きいのはどれですか? A. 公表値では、佐川急便(最大約5,323万件、重複を含む可能性件数)、Eストアー(約2,335.6万人)、ソースネクスト(22,519,960件、可能性の上限)、カプコン(11,774,247件)、バーガーキング(約1,118万件)、焼肉きんぐ(10,788,963件、漏洩確認)が1,000万を超えています。件数と人数、確認状況が異なるため、順位付けはしていません。過去の事案との比較も、この記事では行いません。

関連記事

• 使わないアカウントを削除する「Webじまい」──情報漏洩に備える退会とカードの整理──登録先の探し方、退会前の確認、保存カードの削除、支払いの使い分けを手順にしています。本記事の「家族の登録台帳」の次の一歩です。

まとめ──今週やる3つ

1. メール・銀行・スマホのパスワードを固有のものに変え、多要素認証かパスキーをオンにする。 家族の分も一緒に。
2. カードの利用通知をオンにし、明細を見る習慣をつける。 補償には届け出期限があります。
3. 家族の登録台帳を作り、免許証の画像を預けたサービスを特定する。 タイムズカーの対象者は、信用情報機関への本人申告を検討してください。

漏洩は止められませんが、乗っ取りと詐欺は、使い回しをやめることとリンクを踏まないことで、かなりの部分を防げます。この記事の企業名と件数は、2026年10月23日時点の各社の公表に基づいています。続報で数字が変わることがあるので、自分が使うサービスの「お知らせ」は、折々に見に行ってください。

件数・制度・補償条件は2026年10月23日時点で各社・各機関の公表を確認しています。訂正・続報があるため、最新の情報は各公式サイトで確認してください。