「個人情報ダダ漏れ」時代の自衛術：漏えい通知を受けたら確認すべきこと、やるべきこと：Tech TIPS

[小林章彦，デジタルアドバンテージ]

連載目次

対象：Webサービス

漏えい通知を受けたら確認すべきこと、やるべきこと
タイムズカーの約660万件をはじめ、大規模な個人情報漏えいが相次いでいる。漏えいそのものは防げなくても、二次被害を抑えられるかどうかは利用者の初動次第だ。漏えいの通知を受けたときに確認すべきこと、パスワードやクレジットカードなど漏れた情報別の対策、普段からできる備えを解説する。画面は筆者に届いた個人情報が漏えいした旨を伝えるメール。このようなメールが毎日のように送付されてきている。

　企業のサーバが不正アクセスを受け、顧客の個人情報が漏えいする事件が後を絶たない。以前から個人情報の漏えいは報告されていたが、2026年9月下旬に公表されたタイムズカー（タイムズモビリティ、パーク24の連結子会社）の運転免許証画像を含む漏えいを皮切りに、大規模な情報漏えいが相次いで報告されている（タイムズモビリティのプレスリリース「『タイムズカーWebサイト』への不正アクセスによる個人情報漏えいの可能性について（第1報）」）。筆者の元にも、幾つもの会社から個人情報が漏えいした旨のメールが届いている。

　漏えいそのものは企業側の責任だが、漏れた情報を悪用した二次被害を防げるかどうかは、利用者個人の初動に大きく左右される。そこで本Tech TIPSでは、利用しているサービスから「個人情報が漏えいした可能性がある」と通知を受けた場合、あるいはニュースで漏えいを知った場合に、個人が取るべき対策を解説する。

まずは「何が漏れたのか」を公式情報で確認する

　最初にやるべきことは、慌てて行動せず「本当に漏えいがあったのか」「自分の何が漏れたのか」を正確に把握することだ。漏れた情報の種類によって、対策の優先順位は大きく異なるからである。

　注意したいのは、漏えいを知らせるメールやSMSそのものが詐欺である可能性だ。情報漏えい事件が報道されると、それに乗じてその企業を装い、「おわび」「補償手続き」「パスワード再設定」などをうたうフィッシングメールが出回ることが多い。通知に記載されたリンクや電話番号は信用せず、ブックマークや検索から企業の公式Webサイトにアクセスし、プレスリリースやお知らせで事実関係を確認するのが鉄則だ。

　プレスリリースで確認したいのは、漏えいした項目、対象となる期間や利用者の範囲、パスワードの保存形式（そのまま読み取れるか、復元できない形式か）、そして企業が案内している対応策だ。漏れた項目ごとの主なリスクと優先すべき対策は次の通りである。

漏えいした情報	想定される主なリスク	優先すべき対策
ID・パスワード	不正ログイン、他サービスへのパスワードリスト型攻撃	パスワード変更、使い回しの解消、多要素認証の有効化
クレジットカード情報	不正利用	カード会社への連絡、利用明細の確認、カードの再発行
メールアドレス	フィッシングメール、迷惑メール	不審なメールのリンクを開かない
電話番号	詐欺電話、偽SMS（スミッシング）	不審なSMSのリンクを開かない、知らない番号に折り返さない
氏名・住所・生年月日	なりすまし、標的型の詐欺、ダイレクトメール	個人情報を知っていることを根拠に相手を信用しない
マイナンバーカード、運転免許証などの画像	なりすましによる口座開設や契約	発行元への相談、信用情報機関への本人申告、再発行の検討
漏れた項目別の主なリスクと優先すべき対策

パスワードが漏れたら即変更、使い回しも解消する

　パスワードが漏えいの対象に含まれる場合、最優先で行うべきはパスワードの変更である。たとえハッシュ化されていたとしても、単純なパスワードは解析される恐れがあるため、変更しておくに越したことはない。

　より深刻なのは、同じパスワードを他のサービスでも使い回しているケースだ。攻撃者は漏えいしたIDとパスワードの組み合わせを使い、別のサービスへの不正ログインを機械的に試みる。これを「パスワードリスト型攻撃（クレデンシャルスタッフィング）」と呼ぶ。この場合、漏えいしたサービスだけでなく、同じパスワードを設定している全てのサービスで変更が必要になる。

　新しいパスワードは、Tech TIPS「その筋のプロが勧める簡単で強力なパスワードの作り方」を参考に、サービスごとに異なるものを作成するとよい。また、多要素認証（2段階認証）やパスキーに対応しているサービスでは積極的に有効にし、パスワードが漏れても不正利用されないようにしておきたい。具体的には、次の対策を講じる。

1. 漏えいしたサービスのパスワードを公式サイトで変更する
2. 同じパスワード（または似たパスワード）を使っている他のサービスも変更する。特にメール、ネットバンキング、ショッピングサイト、SNSを優先する
3. 今後はサービスごとに異なるパスワードを設定し、パスワード管理ツール（Webブラウザ標準のものや専用アプリ）で管理する
4. 多要素認証（2段階認証）を有効にする。SMSよりも認証アプリやセキュリティキーの方が安全性は高い
5. パスキーに対応しているサービスでは、パスキーへの移行を検討する。パスキーではサーバ側に公開鍵しか保存されないため、サーバから漏えいしても悪用されにくい
6. 秘密の質問を設定している場合は、その答えも見直す

　併せて各サービスのログイン履歴や登録情報（メールアドレス、電話番号、配送先など）が勝手に変更されていないかも確認しておきたい。不正ログインされた形跡があれば、すぐにサービスのサポート窓口へ連絡する。

クレジットカード情報が漏れたらカード会社に連絡する

　クレジットカード番号などが漏えいした場合は、不正利用される恐れが高い。カード裏面に記載された番号に電話し、カード会社に漏えいの事実を伝えて対応を相談するのが確実だ。多くの場合、カードの利用停止と、番号変更を伴う再発行を勧められる。

　あわせて利用明細を確認し、身に覚えのない請求がないかをチェックする。不正利用は少額の決済から始まることも多いため、数百円程度の見慣れない請求にも注意が必要だ。カード会社のアプリで小まめに利用状況を確認すれば、不正利用にいち早く気付ける。

　クレジットカードには一般に、届け出から一定期間さかのぼって不正利用分を補償する仕組みがある。ただし、補償の対象期間や条件はカード会社によって異なるため、早めに連絡することが重要である。

　なお、カード番号が変わると、公共料金やサブスクリプションサービスなどの継続払いの登録変更が必要になる。登録先を洗い出し、支払いが止まらないように手続きしておきたい。

　銀行口座情報が漏れた場合も、金融機関に連絡して指示を仰ぐ。ネットバンキングのパスワード変更や、不審な出金がないかの確認も欠かせない。

氏名・メールアドレス・電話番号が漏れたら長期戦を覚悟する

　氏名やメールアドレス、電話番号といった情報は変更しにくく、長期間にわたって悪用される恐れがある。漏えい直後だけでなく、数カ月から数年先まで警戒を続ける必要がある。

　典型的なのは、漏えいした企業を名乗り、「おわび」や「返金手続き」を装ったメールやSMSだ。本物らしく見せるために、氏名や購入履歴など、実際に漏れた情報が書き込まれていることもある。自分の情報を正しく知っているからといって、相手が本物だとは限らない点に注意したい。

　次のような連絡には特に警戒すべきである。

• 補償や見舞金、返金を口実に、カード番号や口座番号、暗証番号の入力を求めるもの
• 「本人確認のため」として、パスワードや認証コードを聞き出そうとするもの
• 至急の対応を迫り、メールやSMSのリンクから手続きさせようとするもの
• 企業や警察、公的機関を名乗り、電話で個人情報や送金を求めるもの

　正規の企業が電話やメールでパスワードや暗証番号を尋ねることは、まずない。少しでも不審に感じたら連絡には応じず、公式サイトに記載された問い合わせ窓口に自分で連絡して確認するとよい。

　また、迷惑メールフィルターや、携帯電話会社が提供する迷惑SMS・迷惑電話の対策機能を有効にしておくことも、被害を減らす上で効果がある。

　盗んだ個人情報を悪用し、AIを使って巧妙に作り込まれたフィッシングメールが送られてくることも容易に想像が付く。特にスマートフォンでは、メールに表示されているリンクと実際に開くWebページが異なるように細工されていても気付きにくい。メールやSMSのリンクは原則として開かず、ブックマークや公式アプリから自分でアクセスする習慣を付けたい。

運転免許証やマイナンバーカードの画像が漏れたら信用情報機関に申告する

　タイムズカーの情報漏えいで特に問題となったのが、運転免許証画像などの本人確認書類だ。パスワードやクレジットカード番号と違い、氏名や住所、生年月日、顔写真がそろった本人確認書類の画像は、利用者側で「変更」して無効にすることが難しい。悪用されれば、本人になりすましてクレジットカードやローンを申し込まれたり、携帯電話を契約されたりする恐れがある。オンラインで本人確認を済ませるサービス（eKYC）が増えたことで、運転免許証などの画像が流出した場合のリスクは以前より高まっている（ただしeKYCでの撮影画像による本人確認は2027年3月末で廃止される）。

　こうしたなりすましへの備えとして利用したいのが、信用情報機関の「本人申告」制度である。クレジットカード会社や金融機関は、カードの発行やローンの審査の際に信用情報機関へ照会する。本人確認書類の紛失や盗難、漏えいがあったことをあらかじめ申告しておけば、照会した会社にその旨が伝わり、慎重な審査を促せる。全国銀行協会（全銀協）が運営する「全国銀行個人信用情報センター」の制度は、紛失・盗難だけでなく「漏えい」も申告の対象として明記している（全銀協「本人申告とは」）。

　信用情報機関には、全銀協の他に「CIC」（クレジット系）と「JICC」（消費者金融系）があり、それぞれに同様の申告制度がある。照会先は会社によって異なるため、3機関全てに申告しておくと安心だ。いずれも申告はインターネットまたは郵送で手続きができるものの、手数料が必要となる点に注意してほしい。

　大規模な運転免許証画像の流出が発生した場合、これらの信用情報機関への登録が殺到し、システムが停止してしまうことがある（JICCのスマホアプリによる申込受付の一時休止の事例）。また漏えいに責任のない利用者側が手数料を支払って登録しなければならないことに違和感を持つ人も多い。流出元が責任を持って信用情報機関などへ一括登録して利用者を保護する仕組み（法律）を作ることを関係機関が検討すべきだろう。

　なお、本人申告は万能ではない点に留意してほしい。申告情報はあくまで審査の参考資料であり、申し込みを確実に止められるものではない。また、全銀協によれば、預金口座の開設時には照会がなされないため、なりすましによる口座開設は防げない。申告とあわせて、各信用情報機関で自分の信用情報を開示し、身に覚えのない契約や照会の記録がないかを定期的に確認しておきたい。

全国銀行個人信用情報センターの本人申告手続きページ
運転免許証やマイナンバーカードの画像が流出した場合、全国銀行個人信用情報センターなどに届けることで不正利用を防げる可能性がある。ただし、全国銀行個人信用情報センターの場合、預金口座の開設時には照会されないということだ。漏えいした運転免許証の画像を使って、特殊詐欺などに使う銀行口座が作成されてしまう可能性が残る。

　運転免許証の再交付やマイナンバーの変更も選択肢になるが、効果は限定的だと考えておいた方がよい。運転免許証を再交付しても、氏名や住所、生年月日といった記載内容は変わらず、既に流出した画像が使えなくなるわけではない。マイナンバーは、漏えいして不正に使われる恐れがあると認められる場合に限り、市区町村に請求して番号を変更できる。いずれも発行元である警察（運転免許センター）や市区町村の窓口に相談した上で判断するとよい。

　身に覚えのない請求書やカード、契約書類が届いた場合は、支払ったり放置したりせず、すぐに送付元の会社に連絡し、本人確認書類が漏えいしていることを伝える。その上で、後述の警察や消費者ホットラインに相談したい。

被害に遭ったときや判断に迷うときは専門窓口に相談する

　実際に不正ログインや不正利用の被害に遭った場合、あるいはどう対応すべきか判断に迷う場合は、一人で抱え込まずに専門の窓口へ相談したい。まずは漏えいを起こした企業の問い合わせ窓口に連絡し、その上で内容に応じて次の窓口を利用するとよい。

窓口	主な相談内容	連絡先
IPA 情報セキュリティ安心相談窓口	不正アクセスやウイルス、フィッシングなどの技術的な相談	電話：[phone]（平日10時〜17時）／メール：[e-mail]
消費者ホットライン	契約トラブルや悪質商法など消費生活全般	電話：188
警察相談専用電話	犯罪被害の未然防止などの相談	電話：#9110
警察庁のサイバー犯罪相談窓口	不正アクセスや詐欺などの被害相談	サイバー事案に関する相談窓口（都道府県警察の相談窓口へのリンクもあり）
フィッシング対策協議会	受け取ったフィッシングメールの報告	フィッシングの報告
不正ログイン被害などの主な相談窓口

　IPAの安心相談窓口は個人向けに開設された窓口で、電話受付時間外でも一部の相談内容についてはチャットボットで対処方法を案内している。相談する際は、いつ、何が起きたのか、使っている端末やOSは何かを整理しておくこと。

漏えいしても被害を広げないために普段からできること

　漏えいが起きてから慌てて対策するよりも、漏えいしても被害が広がらない状態を普段から作っておく方が効果は大きい。ポイントは「漏れる情報を減らす」「漏れても悪用されにくくする」「異常にすぐ気付けるようにする」の3つである。

漏れる情報を減らす

• 会員登録の際は、必須項目以外は入力しない。生年月日や電話番号など、サービスの利用に不要な情報は登録しないのが原則だ
• ショッピングサイトにクレジットカード情報を保存しない。保存する場合も、利用頻度の高い信頼できるサイトに限定する
• 使わなくなったサービスは放置せずに退会し、登録情報を削除してもらう。休眠アカウントは、漏えいしても気付きにくいからだ。ただし、退会後も一定期間データを保持するサービスもある点は覚えておきたい
• 秘密の質問には、母親の旧姓や出身地など、調べれば分かる事実をそのまま使わない。推測できない答えを設定し、パスワード管理ツールに記録しておく

漏れても悪用されにくくする

• サービスごとに異なるパスワードを設定し、パスワード管理ツールで管理する。使い回しをなくせば、1つのサービスから漏れても被害はそのサービスにとどまる
• 重要なサービスでは多要素認証を有効にし、対応していればパスキーを使う。パスワードが漏れても、それだけではログインできない状態を作れる
• ネットショッピングで使うカードを1枚に絞り、利用限度額を低めに設定しておく
• メールアドレスを用途別に使い分ける。重要なサービス用と、ネットショッピングやメールマガジン用を分けておけば、フィッシングメールも見分けやすくなる

使い回されているパスワードを確認できるパスワード管理ツールの例
これは「1Password」というパスワード管理ツールの画面の1つで、格納されているパスワードなどを分析してセキュリティ上の問題点を警告してくれる。パスワードの漏えいが発覚した場合、すぐに「再使用されたパスワード」をチェックして同じパスワードを使い回しているサービスを見つけ、速やかにパスワードを修正することが可能だ（普段から「再使用されたパスワード」が0件であるべきなのは言うまでもない）。

異常にすぐ気付けるようにする

• クレジットカードの利用明細は週に1度は確認し、見覚えのない請求がないかどうかをチェックする
• 利用している通販サイトの購入履歴を月に1度は確認し、購入した覚えのない商品がないかどうかを確認する
• 主要なサービスで、新しい端末からのログイン通知を有効にしておく
• 自分が登録しているサービスを一覧にしておく。パスワード管理ツールに登録しておけば、それ自体が一覧になる。漏えいのニュースを見たとき、自分が対象かどうかをすぐに判断できる上、パスワード変更や退会もしやすい

---

　個人情報の漏えいを個人の力で防ぐことはできない。しかし、漏れた後の被害を最小限に抑えることは、利用者自身の行動で十分に可能だ。パスワードの使い回しをやめ、多要素認証を導入するだけでも、被害は大きく抑えられる。「個人情報ダダ漏れ」時代への備えを、今すぐにでも始めよう。