今絶賛、個人情報流出祭りとなっている。
タイムズカー、OZmall、焼肉きんぐ、日本郵政、GMOリサーチ＆AI。2026年9月末から10月上旬にかけて、身近なサービスへの不正アクセスや情報流出が次々と公表された。
これはマジで怖い。自分の名前や住所、電話番号、場合によっては運転免許証の画像まで、どこかの企業のサーバーから持ち出されるかもしれない。
さらに怖いのが、生成AIによって攻撃者の手が強くなっていること。今やAIは、自然な詐欺メールを書くためだけではなく、システムの弱点を探し、攻撃するためにも使われている。
じゃあ、そんな時代に個人は何ができるのか。
先に結論を書いておく。
企業が保管している自分の個人情報の流出を、僕ら利用者が直接止めることはできない。だから、情報が漏れる可能性を前提に「漏らす情報を減らす」「被害を連鎖させない」「悪用にすぐ気づく」ことが重要だ。
今回はその理由と、今日からできる対策を整理していこうと思う。
直近の日本で何が起きているのか
まずは2026年9〜10月に公表された事例を見てほしい。
- タイムズカー：約660万アカウント分の会員情報が第三者に取得され、運転免許証画像などの本人確認書類も流出した。公式発表
- OZmall（オズモール）：最大約45万人分のメールアドレスなどが不正に閲覧された可能性が公表された。公式発表
- 日本郵政・日本郵便：郵便局アプリへの不正アクセスで、顧客の住所録・送り状などに関する情報が取得された。公式発表
- 焼肉きんぐ：公式アプリの約1,079万件の会員情報が流出した。公式発表
- GMOリサーチ＆AIのinfoQ：約89万件の個人情報が持ち出され、一部でポイントの不正交換も発生した。公式発表
たった数週間の間にこれだけの企業名が並んでいる。
これだけ大規模な流出が立て続けに起きると、もはや「自分には関係ない」とは言えない。
そして問題なのは、僕らがその企業でどれだけ注意深くサービスを使っていても、企業のサーバーそのものが狙われたら防ぎようがないことだ。
生成AIによって、サイバー攻撃の何が変わったのか
生成AIが登場して、攻撃者にとって有利になったことが大きく2つある。
「人をだます文章を簡単に作れること」と、「企業への攻撃にかかる時間や手間を減らせること」だ。
① 自然な日本語で、人をだましやすくなった
少し前まで、詐欺メールやSMSは日本語がおかしくて、見た瞬間に怪しいと感じるものも多かった。
でも生成AIを使えば、銀行や配送業者が送ってきそうな自然な日本語をあっという間に作れる。しかも、文章を一通作るだけではなく、相手の名前や利用サービスに合わせて内容を変え、大量に用意することもできる。
つまり、詐欺の文章が「雑だから見抜ける」という時代ではなくなってきたということだ。実際、海外のサイバーセキュリティ機関も、AIによってフィッシングが巧妙化し、大規模に作られるようになっていると指摘している。カナダのサイバーセキュリティセンターの分析
これは主に、僕ら個人が直接狙われる話だ。
② 攻撃のコストが下がり、より多くの企業を狙いやすくなった
今回の企業の情報流出を考えるうえでは、こちらがもっと重要だと思う。
企業のシステムに不正アクセスするには、まず攻撃できそうな弱点を探さなければならない。どんなシステムを使っているか調べ、プログラムを解析し、試して、うまくいかなければ別の方法を考える。これまでは、そこに相応の知識と時間が必要だった。
生成AIは、この一連の作業を手助けできる。調査内容を整理したり、プログラムの作成を補助したり、試した結果から次の手を考えたりできるからだ。
一社を調べて攻撃を試すための手間が減れば、同じ時間でより多くの企業を狙えるようになる。 高い技術を持った攻撃者にとっても作業が速くなるし、経験の浅い攻撃者にも手が届く範囲が広がる。
これは想像上の話ではない。JPCERT/CCは2026年10月、攻撃者がAIを使ってシステムの弱点を探し、企業のアプリとサーバーの通信部分を狙う攻撃を行っていたことを報告している。JPCERT/CCの調査
攻撃者はAIの力を借りて、より速く、より多くの標的を調べられる。一方、企業は自社のシステムにある弱点を一つひとつ塞いでいかなければならない。
そして企業が突破されれば、そのサービスを使っていた僕らの個人情報も巻き込まれる。
生成AIによって攻撃のハードルが下がっているからこそ、個人も「利用する企業から情報が漏れる可能性」を前提に備える必要がある。
大事なのは「漏れることを前提に守る」という考え方
ここで参考になるのが、セキュリティ分野の Assume Breach（侵害を前提とする） という考え方だ。
どれだけ守っていても、突破される可能性はある。だから、突破された後に被害が広がらない仕組みを作っておく。
これを個人の情報管理に置き換えてみる。
例えば、あるサービスに登録したメールアドレスやパスワードが流出したとする。そのパスワードをほかのサイトでも使っていれば、SNSや買い物サイト、場合によってはメールアカウントまで乗っ取られかねない。
逆に、それぞれ違うパスワードを使い、重要なアカウントに多要素認証を設定しておけば、被害が別のサービスに広がるのを防ぎやすくなる。
つまり、目指すのは「絶対に漏れない状態」ではなく「漏れても大きな被害にならない状態」だ。
僕が個人でやるべきだと思う対策は、大きく3つある。
個人ができる具体的な対策
1. そもそも企業に預ける個人情報を減らす
最初に見直したいのは、どの企業に、どれだけの情報を預けているか。
ネットサービスを利用するとき、つい何も考えずに氏名、住所、電話番号、生年月日を入力してしまう。でもその情報は、退会するまで、あるいは退会した後も企業に残ることがある。
だから、まずはこれをやりたい。
- 使っていないサービスを退会する。 数年前に登録して放置したサイトから整理する。
- 任意の個人情報は入力しない。 住所・電話番号・生年月日など、本当に必要なものだけ渡す。
- 身分証明書を預けるサービスを把握する。 何のために提出し、いつまで保管されるのか確認する。
- 退会時に情報の削除も確認する。 アカウントを閉じるだけでなく、データの扱いにも目を向ける。
タイムズカーの事案では、退会後も本人確認書類画像を保管していたルールが見直しの対象になった。関連発表
情報を預ける機会を減らす。それが、企業からの流出に備える最初の防御になる。
2. 漏れても他のアカウントまで乗っ取られないようにする
次に大切なのが、被害を連鎖させないこと。
一つのサービスで流出したログイン情報が、別のサービスへの攻撃に使われることがある。
ここは次の3つを徹底したい。
① パスワードを使い回さない
すべてのサービスで異なる長いパスワードを使う。自分で覚えるのは無理なので、スマホ標準のパスワード管理機能やパスワードマネージャーに任せる。
② 主要アカウントにパスキー・多要素認証を設定する
優先順位が高いのは、Gmailなどのメール、Google・Appleアカウント、銀行、証券、SNS。特にメールは他のサービスのパスワード再設定に使われるので、真っ先に守りたい。
③ 重要用途のメールアドレスを分ける
銀行や証券などの重要なサービスと、買い物・会員登録などのサービスでメールアドレスを分ける。サービス別のエイリアスを使う方法もある。
まずはこの3つ。企業の情報流出が、自分のほかのアカウントの乗っ取りにつながる可能性を減らせる。
3. 情報が悪用されたときにすぐ気づけるようにする
最後は、被害の早期発見。
情報が漏れたことそのものよりも、その後に何をされるかが生活へのダメージになる。
だから通知と確認の仕組みを作っておく。
- クレジットカード・銀行の利用通知をオンにする。 見覚えのない決済や送金にすぐ気づけるようにする。
- メールやSNSのログイン通知をオンにする。 知らない端末からのアクセスがないか確認する。
- 流出のニュースが出たら、該当サービスの公式サイトを確認する。 自分が対象か、何の情報が流出したかを調べる。
- 不審な連絡は公式アプリから確認する。 「流出したので急いでログインしてください」というメールやSMSのリンクは開かない。
さらに、運転免許証画像のような本人確認書類が漏れた場合は、自分名義の不正契約にも備えたい。
日本には、信用情報機関のCICの本人申告制度やJICCの本人申告コメントがある。名義の悪用が心配なことを登録し、金融機関などの審査時に注意を促す仕組みだ。
自分の情報が漏れたと知ったら、何が流出したかに応じて動けるようにしておきたい。
もし実際に個人情報が漏れたら？
流出の種類ごとに、やることを決めておくと慌てずに済む。
- メールアドレス・氏名・電話番号が漏れた → 本物そっくりの詐欺メールや電話を警戒し、公式アプリから確認する。
- パスワードが漏れた → そのサービスと、同じパスワードを使っていたサービスをすぐ変更。ログイン履歴と多要素認証も確認する。
- カード情報が漏れた → 明細を確認し、カード会社に利用停止・再発行の必要性を相談する。
- 運転免許証などの画像が漏れた → 流出元の案内を確認し、CIC・JICCの本人申告制度や不審な契約への対応を検討する。
被害の種類に合わせて行動する。これが一番現実的だと思う。
まずはここから始めよう
ここまでいろいろ書いたけれど、全部一度にやろうとすると大変だ。
最初の一歩としては、これだけでもいい。
- メインのメールアカウントにパスキーか多要素認証を設定する。
- 銀行・証券・SNSでパスワードを使い回していないか確認する。
- カードの利用通知をオンにして、使っていないサービスを1つ退会する。
そして余裕ができたら、ほかのサービスの棚卸しやバックアップ、復旧コードの保管にも広げていけばいい。
まとめ
最近の個人情報流出のニュースを見ていると、なんだかネット上のサービスを使うこと自体が怖くなってくる。
しかも、生成AIによって攻撃者がシステムの弱点を探したり攻撃を繰り返したりするハードルは下がっている。
一方で、僕らが利用先の企業のサーバーを守ることはできない。
だったら、考え方を変えるしかない。
個人情報が漏れる可能性を前提に、預ける情報を減らす。漏れても被害が連鎖しないようにする。悪用されたらすぐ気づけるようにする。
「絶対に情報が漏れない人」を目指すのではなく、「情報が漏れても生活への被害を小さくできる人」を目指す。
情報流出祭りのディストピアを生きる僕らにとっては、それが一番現実的な防御策なんじゃないかと思う。
参考資料
