サイバー攻撃による個人情報漏洩｜確認方法と被害を防ぐ対策

情報基準：2026年10月10日

サイバー攻撃による個人情報漏洩（漏えい）のニュースを見たら、まず公式のお知らせで、自分が対象か、どの情報が漏れたのかを確認してください。メールアドレスだけの場合と、パスワードやカード情報まで含む場合では、優先する対応が変わります。

最初に確認したいのは、次の3点です。

• 公式の案内か：届いたメールのリンクを使わず、普段の公式アプリや確認済みの公式サイトからお知らせを開く。
• 何が対象か：対象サービス・利用期間・情報の種類を確認する。
• 被害が起きていないか：身に覚えのないログイン、購入、出金があれば、サービス提供者や金融機関へ速やかに連絡する。

すでに不正送金やカードの不正利用に気付いた場合は、企業の調査完了や個別通知を待たず、銀行・カード会社へ連絡してください。被害の相談は警察でも受け付けています。警察庁の被害時の案内

個人情報漏洩のニュースを見たら、まず何を確認する？

公式のお知らせで「対象」と「情報の種類」を読む

企業名がニュースに出ていても、その企業のすべてのサービスや利用者が対象とは限りません。例えば、店舗の会員アプリと通販サイトでは、管理している情報やシステムが異なる場合があります。

公式発表では、次の項目を順に確認します。

1. 対象サービス・対象者：自分が登録したアプリやサイトか。退会者も対象に含まれるか。
2. 対象期間：いつの登録情報や利用履歴が対象か。
3. 漏れた情報：連絡先、パスワード、決済情報、本人確認書類など、どこまで含まれるか。
4. 確認状況：漏えいを確認したのか、可能性を調べている段階か。
5. 利用者への案内：必要な手続き、問い合わせ先、最新の続報はあるか。

発表にない項目は「対象外」と決めつけず、公式窓口で確認します。

「漏えいの確認」と「不正利用の確認」は別

「不正利用は確認されていません」と書かれていても、情報が漏れていないという意味ではありません。その発表時点で、悪用による被害を確認していないという説明です。

また、「閲覧・取得された可能性がある」という発表を、漏えいが確定したと読み替えることもできません。ニュースの見出しだけで判断せず、発表日と続報を含めて読みましょう。後で範囲や件数が変わることを考え、確認したお知らせの日付を控えておくと整理しやすくなります。

漏れた情報によって、必要な対策は変わる

下表は、公的機関などの案内を基に、情報の種類と対応を整理したものです。複数の情報が含まれる場合は該当する行を確認し、被害企業や金融機関から個別の案内があるときは、その内容も確かめてください。

偽のサイトなどへ誘導し、IDやカード情報を盗む手口を「フィッシング」と呼びます。漏えいした連絡先などが、こうした手口に利用される可能性があります。

漏れた情報	想定される悪用・影響	優先する対応
氏名・住所・電話・メール	本人や利用サービスを知っているように装った連絡、偽サイトへの誘導	不審な連絡で追加情報を渡さない。公式のお知らせから対象範囲を確認する
ID・パスワード	アカウントの乗っ取り、使い回した別サービスへの不正ログイン	漏えいが疑われる、または偽サイトに入力したパスワードを変更。同じものを使う他サービスも変更する
クレジットカード情報	身に覚えのない決済	カード会社へ相談。偽サイトに入力した場合は、直ちに紛失・盗難窓口へ連絡する
銀行口座番号・名義など	金融機関を装った連絡など。認証情報も漏れた場合とは状況が異なる	暗証番号なども対象か確認し、銀行の案内に従う。取引明細も確認する
ネットバンキングのID・パスワード・暗証番号など	不正ログインや不正送金	漏えいが疑われる場合は銀行へ速やかに相談。偽サイトへの入力や不審な出金があれば直ちに連絡する
運転免許証など本人確認書類の画像	なりすましによる借入れなどの申込み	対象書類を確認し、必要に応じて信用情報機関の本人申告制度を検討する
健康・診療に関する情報	本人が知られたくない情報の拡散など、プライバシーへの影響	医療機関・事業者に対象項目と対応を確認。取扱いへの疑問や苦情は個人情報保護委員会へ相談する

根拠：IPAの不正ログインへの対処／フィッシング対策協議会の対処案内／全国銀行個人信用情報センターの本人申告FAQ／個人情報保護委員会の相談窓口。

連絡先の漏えいが公表されたというだけで、カード停止や全サービスのパスワード変更が必要とは限りません。例えば、企業がパスワードや決済情報を対象外と説明している場合は、不審な連絡への対応と公式の案内をまず確認します。ただし、別の不審な画面に自分で情報を入力してしまった場合は、その情報に応じた対応が必要です。

パスワード変更だけで終わらせない

不正ログインされた疑いがあり、まだ自分でログインできる場合は、パスワードを変えたうえで登録メールアドレスや電話番号を確認します。攻撃者の連絡先に変更されていると、アカウントを取り戻しにくくなるためです。

ログインできないときは、公式のパスワード再設定やアカウント復旧手続きを使います。復旧できなければサービス提供者へ相談し、SNS上で見つけた見知らぬ相手に復旧を頼まないようにしましょう。IPAのアカウント復旧案内

カード情報を偽サイトへ入力した場合は、カード会社に連絡して利用停止と、必要に応じた再発行を進めます。金融サービスの認証情報を入力した場合も、まず金融機関への連絡を優先してください。入力した情報別の対処

本人確認書類の画像が漏れたときに使える制度

運転免許証などの情報が漏れた可能性がある場合、全国銀行個人信用情報センターの「本人申告」を利用できることがあります。本人からの申告を登録し、加盟金融機関が借入れなどの審査を慎重に行うための参考にする仕組みです。

ただし、借入れや悪用を必ず止める制度ではありません。同センターへの照会は預金口座の開設時には行われないため、口座開設まで一括して防げると考えないことも大切です。対象書類や手続きは、本人申告の公式案内で確認できます。

最近のサイバー攻撃では何が起きている？

JPCERT/CCは2026年10月8日に注意喚起を公表し、9日に更新しました。国内組織で個人情報等の漏えいが相次いでいるとする一方、把握した技術情報は限られ、すべての事案で同じ攻撃手法が使われたわけではないと説明しています。JPCERT/CCの注意喚起

身近なサービスの公表内容を比べると、漏えいの確認状況も、利用者への案内も異なります。

事例と公式発表日	確認状況と対象情報	利用者が確認すること
焼肉きんぐ公式アプリ／2026年10月5日	10,788,963件の漏えいを確認。会員番号、氏名として登録した名前、メール、電話番号	不審なメール・SMS・電話への注意。パスワードは漏えいしていないと説明。決済情報は保有していない
スズキヴィレッジ／2026年10月9日	約3,000名分が閲覧・取得された可能性。メール、ニックネーム、参加日、性別、年代、居住都道府県、所有車名	便乗した不審な連絡に注意。同じ・似たパスワードを他サービスで使う場合、念のため変更を検討する案内

出典：物語コーポレーションの公式発表／スズキの公式発表。表は各発表時点の内容です。

焼肉きんぐの事案では、10月2日に不正アクセスを確認し、3日に漏えいを確認しています。スズキヴィレッジは発表時点でサービスを停止しています。スズキの事案は、10月5〜6日にサービス提供事業者のコミューンで発生した不正アクセスに関するもので、スズキは本体システムへの直接的な侵入やランサムウェア被害を確認していないと説明しています。

両社とも、それぞれの発表時点では不正利用等を確認していないとしています。ただし、調査状況は変わり得るため、利用者は公式の続報を確認してください。

焼肉きんぐの公表内容は、NEWS DAILYの10月6日朝刊でも紹介しています。

なぜ企業から個人情報が漏れるのか

企業のシステムには、利用者の画面だけでなく、管理画面、データベース、外部サービスとの接続などがあります。そのどこかに弱点が残ると、規模の大きい企業でも被害を受ける可能性があります。

個人情報保護委員会が10月7日に改訂した注意喚起では、ソフトウェアの弱点への対応不足、不正ログイン、グループ会社やクラウドサービスを通じた被害、APIの不備などを紹介しています。APIとは、アプリやシステム同士が情報をやり取りする仕組みです。個人情報保護委員会の注意喚起

特に理解しておきたいのが、「認証」と「認可」の違いです。認証はログインする人が本人かを確かめること、認可はその人に特定の情報を見る権限があるかを確かめることです。本人確認ができても、別の利用者の情報を取得できる設計では、情報の保護は不十分です。

この違いから、利用者が自分のログインを強く守ることと、企業が保管する情報全体を守ることは、別々に考える必要があります。ただし、ここで説明した一般的な原因が、前述の2事例の原因として確定しているわけではありません。

サイバー攻撃とランサムウェアは同じ意味ではない

サイバー攻撃は、情報を盗む、不正に操作する、サービスを止めるなどの攻撃を広く指します。個人情報の漏えいは、その結果として起こり得る被害の一つです。

ランサムウェアは、データの暗号化などによって利用できなくし、復旧と引き換えに金銭を要求する不正プログラムです。情報を盗み、公開すると脅す事案もありますが、暗号化と情報の持ち出しは個別に確認する必要があります。「情報漏えい」と聞いて、すべてをランサムウェア被害と考えることはできません。JPCERT/CCの解説

日頃からできる対策と、個人では防ぎ切れないこと

日頃の対策として、サービスごとに異なるパスワードを使い、対応しているサービスでは多要素認証やパスキーを設定しましょう。パスキーは、端末の指紋・顔認証やロック解除などを使ってログインする方式で、サービス側の対応が必要です。IPAの認証に関する案内

多要素認証は、パスワードなど「知っているもの」、認証用の端末など「持っているもの」、指紋など「本人の身体的な特徴」のうち、異なる種類を組み合わせます。認証を2回行う「二段階認証」とは着目する点が異なり、2回ともパスワードを入力するだけなら、多要素とはいえません。IPAの用語解説・12ページ

スマートフォンやパソコンの更新も続け、公式アプリやブックマークからサービスへアクセスする習慣をつけてください。メールに示された送信元名は偽装されることがあり、自然な日本語や見慣れたロゴだけでは本物と判断できません。警察庁のフィッシング対策

ブラウザーに鍵マークが表示されていても、それだけで運営者が本物とは確認できません。通信が暗号化されていることと、相手を信頼できることは別だからです。フィッシング対策協議会の解説

個人の設定だけでは、企業側の権限管理の不備や委託先からの流出まで防げません。企業には、システムの更新、適切なアクセス制御、委託先の管理、不要になった情報を残さない運用などが求められます。利用者の不注意がなかった場合にも被害は起こり得るため、漏えいを知った後に必要な行動を取れることが大切です。JPCERT/CCの対策案内

企業の対応・相談先をどう確認するか

企業には、個人の権利利益を害するおそれがある一定の漏えい等について、個人情報保護委員会への報告と本人への通知が求められます。本人通知は状況に応じて速やかに行い、通知が困難な場合には代替措置が認められています。個人情報保護委員会の制度説明

一方、ウェブサイトなどでの公表は別の対応です。本人通知の代替措置として行う場合を除き、公表が一律に義務付けられているわけではありません。「ニュースになっていない」「自分に通知がない」だけでは、対象外とは判断できません。個人情報保護委員会Q&A・Q6-33

相談先は、困っている内容に合わせて選びます。

• 自分が漏えいの対象か知りたい：被害企業の公式窓口。対象情報、必要な手続き、続報の掲載先を確認します。
• 不正送金・カードの不正利用・乗っ取りがある：銀行、カード会社、サービス提供者へ速やかに連絡し、警察にも相談します。緊急でない警察相談は「#9110」です。
• 契約や請求などの消費者トラブル：消費者ホットライン「188」。身近な消費生活センターなどにつながります。相談は無料ですが通話料がかかります。
• 個人情報の取扱いに疑問や苦情がある：個人情報保護法相談ダイヤル。電話は03-6457-9849、平日9:30〜17:30（土日祝日・年末年始を除く）です。

企業から届いた通知、利用明細、不審なログイン履歴、問い合わせの日時と回答は保存しておきましょう。警察に相談するときも、何が起きたかを説明する手掛かりになります。警察庁の不正アクセス被害への案内

返金や補償の条件は、サービスや個別の事案で異なります。窓口に連絡した際に、対象となる手続きや申告期限を確認してください。

よくある質問

パスワードは必ず変更したほうがよいですか？

漏えいした情報にパスワードが含まれる、偽サイトに入力した、不正ログインが疑われる場合は速やかに変更します。同じものを使う他サービスにも対応が必要です。連絡先だけの漏えいなら、まず企業の案内を確認してください。企業が予防的な変更を勧める場合もあります。

退会すれば、流出した情報を消せますか？

退会しただけで、外部に持ち出された情報まで回収できるとは限りません。JPCERT/CCは、攻撃者が公開した情報を第三者が複製・再掲する可能性を説明しています。退会時に事業者が保管情報をどう扱うかと、すでに流出したコピーへの対応は分けて考えましょう。流出情報に関する解説

通知が来ていなければ、自分は対象外ですか？

通知がないだけでは判断できません。調査が続いている場合や、個別通知に代わる方法で案内される場合もあります。対象サービスと利用時期が当てはまるなら、公式のお知らせや問い合わせ窓口で確認してください。漏えい確認サービスの検索結果だけを、安全の証明にすることも避けましょう。

二段階認証を設定していても、個人情報は漏れますか？

漏れる可能性はあります。認証の強化は自分のアカウントへの不正ログインを防ぐ助けになりますが、企業の管理システムやデータベースの保護とは別です。設定しているから対象外とは判断せず、公式発表で情報の範囲を確認してください。

「漏えいした情報を削除する」と連絡が来たら？

その場で料金を支払ったり、パスワード・認証コードを渡したりせず、連絡を切り上げて公式窓口で確認してください。補償や返金の案内でも同様です。自分の情報を探すために、流出名簿や攻撃者のサイトへアクセスする必要はありません。

今日確認したいのは、対象情報と必要な対応

まずは公式のお知らせを開き、自分の情報が対象か、何が含まれるかを確かめましょう。次に、認証情報の変更や金融機関への連絡など、自分に必要な対応を進めます。

不正利用が見つかっていない場合も、便乗した連絡には注意し、公式の続報を確認してください。情報を正しく分けて読むことが、不要な混乱を避けながら二次被害を防ぐ第一歩になります。

出典一覧

確認日：すべて2026年10月10日。日付のない資料は確認日を公表日の代わりにせず、区別して記載しています。

1. 物語コーポレーション：「焼肉きんぐ」公式アプリの個人情報漏えいに関する発表（2026年10月5日公表）。
2. スズキ：スズキヴィレッジへの不正アクセスに関するお知らせ（2026年10月9日公表）。
3. JPCERT/CC：国内組織における不正アクセスに関する注意喚起（2026年10月8日公開、10月9日更新）。
4. 個人情報保護委員会：不正アクセスによる個人データ漏えい防止のための注意喚起（2026年10月7日改訂。特に3・12ページ）。
5. IPA：インターネットサービスへの不正ログインによる被害が増加中（2025年8月28日公開）。
6. 警察庁：不正アクセス対策（公表・更新日記載なし）。
7. 警察庁：フィッシング対策（公表・更新日記載なし）。
8. フィッシング対策協議会：よくあるご質問／お問い合わせ（公表・更新日記載なし）。
9. 全国銀行協会・全国銀行個人信用情報センター：本人申告の手続きについて Q1〜Q3（公表・更新日記載なし）。
10. 個人情報保護委員会：個人情報保護法相談ダイヤル（公表・更新日記載なし）。
11. 個人情報保護委員会：漏えい等報告・本人への通知の義務化について（公表・更新日記載なし）。
12. 個人情報保護委員会：ガイドラインに関するQ&A Q6-33（2025年7月1日版）。
13. 消費者庁：消費者ホットライン（公表・更新日記載なし）。
14. JPCERT/CC：侵入型ランサムウェア攻撃を受けたら読むFAQ（2022年1月13日公開、2026年6月18日更新。Q3-3-1・4・5など）。
15. IPA：情報セキュリティ10大脅威2020 知っておきたい用語や仕組み（2020年3月。用語の定義を確認する背景資料として12ページを使用）。
16. フィッシング対策協議会：フィッシング対策ガイドライン2026年度版（2026年度版。用語集の錠前マークの説明）。
17. 警察庁：ご意見、各種相談・情報提供等（公表・更新日記載なし）。