数百万件規模の情報漏洩、国内企業でも相次ぐ

国内では2023年以降、NTT西日本グループ、LINEヤフー、KADOKAWAなどで大規模な情報漏洩が明らかになった。2026年にはタイムズカーで、退会済み会員を含む大量の情報流出が確認されている。

※各社公表資料を基に作成。LINEヤフーは2024年2月の最終調査結果を使用し、漏洩の可能性がある情報も含む。件数、人数、アカウント数は定義が異なり、同一人物・情報の重複を含む場合があるため単純比較はできない。

注目されるのは、事件ごとに情報が流出した経路や管理上の課題が異なることだ。外部からの不正侵入、委託先の端末を経由したアクセス、正規の権限を持つ内部関係者による持ち出しなど、情報漏洩は複数の経路で発生している。

タイムズカーは660万アカウントが流出、本人確認書類も約160万件

パーク24が運営するタイムズカーでは、2026年9月25日にWebシステムへの不正アクセスを検知した。その後の調査で、第三者が一部の会員情報を取得したことが確認され、9月28日に漏洩したアカウント数が約660万件に上ると公表した。

対象には現会員だけでなく退会済み会員、入会手続きが完了していない申込者、法人向けサービスの利用者なども含まれる。流出した情報の種類は対象者によって異なるが、氏名、住所、生年月日、電話番号、メールアドレス、運転免許情報などが含まれていた。

さらに9月29日には、運転免許証画像などの本人確認書類情報が漏洩したアカウント数が約160万件に上ることを明らかにした。運転免許証のほか、現住所確認書類、学生証、家族確認書類などの画像も対象となっている。

一方、クレジットカード情報については漏洩していないことを確認したと説明している。パスワードは復元できない形式で保管されていたという。

同社は不正アクセス経路を遮断し、外部専門機関による調査を継続している。10月16日時点では調査に時間を要しており、追加の案内を10月23日に行う予定としている。侵入に至った具体的な原因や、被害の全容については引き続き調査結果を確認する必要がある。

退会後7年間も保管していた本人確認書類　事件後に保存方針を変更

今回の事件が投げ掛けた大きな問題の一つが、企業による個人情報の保有期間である。

パーク24は10月16日、タイムズカーで提出された運転免許証などの本人確認書類画像について、保存方法を変更すると発表した。

従来は、会員登録時に提出された画像を会員期間中に加え、退会後も7年間保有していた。本人確認手続きだけでなく、不正利用が疑われる事案への対応や問い合わせ対応などを目的としていたという。

しかし、情報漏洩を受けて保有に伴うリスクを再検討した結果、会員登録の確認が完了した後は画像を保存しない運用に変更することを決定した。現在保有している本人確認書類画像についても、本人からの削除請求の有無にかかわらず、2026年10月末までに削除する方針を示している。

この方針変更には重要な意味がある。企業が保有する情報は、外部から侵入された際の被害規模を左右する。登録時には必要だった本人確認書類の画像であっても、その後の利用目的や保存期間が見直されなければ、情報は蓄積され続ける。

例えば、退会した利用者の情報がシステム内に残っていれば、その利用者も新たな情報漏洩事件の影響を受ける可能性がある。利用者にとっては、サービスの利用を終了しただけでは情報流出のリスクが完全になくなるわけではない。

もちろん、契約履歴や取引記録など、法令や適切な業務上の理由によって一定期間の保存が必要な情報も存在する。ただし、すべての情報を同じ期間保存する必要があるとは限らない。

今回の保存方針変更は、個人情報をいかに安全に保管するかという従来の発想に加え、「保管そのものを最小限にできないか」という課題を浮き彫りにした。

大企業でも防げない理由　委託先、内部不正、ソフトウェアの脆弱性

情報漏洩の発生原因は、企業の外部と内部の双方に存在する。

NTT西日本グループ関連の事件では、コンタクトセンターシステムの運用保守に従事していた元派遣社員が顧客情報を不正に持ち出し、第三者へ流出させていた。グループは外部専門家による調査を踏まえて再発防止策を策定し、2026年9月末にも対策の進捗を公表している。

この事件では、外部の攻撃者によるシステムへの侵入ではなく、業務上のアクセス権限を持つ人物による不正行為が問題となった。システムに正規の方法でアクセスできる人であっても、顧客情報を自由に持ち出せない仕組みが必要となる。

LINEヤフーの2023年の事件では、関係する委託先企業の従業者が使用していたパソコンのマルウェア感染が契機となった。関連会社のシステムとの接続や共通認証基盤の問題が重なり、不正アクセスが広がった。

自社システムへの防御策だけでは、委託先や関係会社を通じた侵入を完全には防げない。外部企業に与える権限の範囲や、ネットワークの接続方法まで含めた管理が必要になる。

海外でも攻撃経路は多様化している。米通信大手Verizonが公表した2026年版のデータ侵害調査報告書では、調査対象となった侵害事例の31％でソフトウェアの脆弱性悪用が初期侵入経路となっていた。また、ランサムウェアが関与した侵害は48％を占めた。

これらは異なる観点の指標であり、合計して解釈することはできないが、認証情報の管理だけでなく、脆弱性の修正やシステム全体の監視も重要になっていることを示している。

漏洩した情報は何に使われるのか　本人確認書類には特有の危険

情報漏洩によって生じるリスクは、流出した情報の種類によって異なる。

メールアドレスや電話番号は、実在する企業やサービスを装ったフィッシング詐欺などに利用されるおそれがある。氏名、住所、生年月日などが組み合わされば、相手が本人の事情を知っているように見せ掛けた連絡にも悪用されかねない。

パスワードが第三者に知られた場合には、同じパスワードを使用する別のサービスへの不正ログインにも注意が必要となる。

運転免許証などの本人確認書類画像には、これらとは異なる問題がある。メールサービスのパスワードであれば変更できるが、漏洩した本人確認書類の画像を、パスワードの変更だけで無効にすることはできない。

ただし、本人確認書類の画像が流出したからといって、直ちに金融口座の不正開設や契約上のなりすましが成立するわけではない。各サービスの本人確認手続きによって悪用の難易度は異なり、実際の被害が発生したかどうかは個別に確認する必要がある。

利用者としては、企業からの正式な通知内容を確認するとともに、不審なSMSやメールのリンクを安易に開かず、金融機関や各種サービスの利用履歴を確認することが重要になる。漏洩の通知自体を装った詐欺にも警戒が必要だ。

情報漏洩が企業経営を直撃　米国では対応費用22億ドル

情報漏洩は利用者のプライバシーだけでなく、企業の収益や事業継続にも影響する。

2024年6月にランサムウェア攻撃を受けたKADOKAWAグループでは、動画配信サービス「ニコニコ」を中心とするシステムに障害が発生し、複数のサービスが停止した。個人情報の流出だけでなく、事業運営そのものが制約される事態となった。

海外では、より大きな経済的影響が公表されている。

米国の医療関連サービス会社Change Healthcareが2024年に受けたサイバー攻撃について、親会社UnitedHealth Groupは米証券取引委員会に提出した年次報告書で、同年の直接対応費用が22億ドルに上ったと開示した。

さらに、関連事業で発生した売上減少などの事業中断による影響を8億6,700万ドルと見積もっている。対象者は約1億9,000万人に上ると推計された。

直接対応費用には、システム復旧、影響を受けた人への通知などが含まれる。事業中断の影響額は別の指標であり、両者を単純に同じ性質の損失として扱うことはできない。

企業が情報漏洩に直面した場合、調査費用、システムの復旧費、利用者への通知、問い合わせ窓口の設置、追加のセキュリティ対策など、多方面に費用が発生する。事業停止や取引先との関係悪化が重なれば、損失は情報システム部門だけにとどまらない。

大企業と比較して資金や人員に余裕の少ない中小企業では、深刻なシステム障害が資金繰りや事業継続上の負担となる可能性もある。ただし、個別企業の経営悪化や倒産を情報漏洩の結果と判断するには、別途その因果関係を確認する必要がある。

企業には報告義務も　情報管理は経営責任の問題に

日本の個人情報保護法では、一定の要件に該当する個人データの漏洩やそのおそれが生じた場合、事業者に個人情報保護委員会などへの報告と本人への通知が義務付けられている。

報告対象となるのは、要配慮個人情報を含む場合、財産的被害が生じるおそれがある場合、不正目的による行為が関係する場合、対象者が1,000人を超える場合などである。

報告は原則として速やかに行い、速報は発覚からおおむね3～5日以内、確報は原則30日以内とされる。不正な目的で行われたおそれがある事案などでは、確報の期限が60日以内となる。

ただし、情報漏洩が発生したことだけで、すべての利用者に一律の損害賠償が認められるわけではない。賠償責任や補償の内容は、管理上の問題、損害の内容、個別の事情などによって判断される。

企業にとって重要なのは、事故発生後の報告に加え、事故を想定した管理体制を平常時から構築しておくことである。保有情報の把握、委託先の管理、アクセス権限の制限、システムの監視、復旧手順の整備は、企業の規模を問わず経営上の課題となっている。

個人情報を「守る」から「持ち過ぎない」へ

これまで企業の情報漏洩対策は、外部からの侵入をいかに防ぐかという視点で語られることが多かった。しかし、国内外の事例からは、それだけでは十分ではないことが分かる。

正規の権限を持つ関係者による不正な持ち出し、委託先経由の侵入、ソフトウェアの脆弱性を悪用した攻撃など、すべての経路を完全に排除することは容易ではない。

そのため企業には、侵入防止に加え、万一侵入された場合に取得される情報を最小限に抑える発想が求められる。

個人情報を収集する段階で必要性を吟味し、保存期間を定め、不要となった情報を適切に削除する。保存が必要な場合も、アクセスできる担当者を限定し、外部への持ち出しや大量取得を監視する。これらを組み合わせることで、被害を抑える余地が生まれる。

タイムズカーの事件後に示された本人確認書類画像の保存方針変更は、その一つの事例といえる。登録手続きに必要な情報であっても、その情報を長期間保存し続けることが適切なのか、改めて検討する契機となった。

デジタルサービスの拡大によって、企業が扱う個人情報は増え続けている。一方、保有する情報が多く、保存期間が長くなるほど、事故が起きた際に影響を受ける範囲も広がり得る。

情報漏洩を防ぐために何を導入するかだけでなく、そもそも何を、どこまで持つ必要があるのか。個人情報の大量流出が相次ぐ現在、企業の情報管理は、技術対策から経営判断の問題へと広がっている。