はじめに
ヤマト運輸、佐川急便、焼肉きんぐ、タイムズカー。
誰でも一度は名前を聞いたことがある会社ばかりだ。共通点は「お客さんの個人情報が外に漏れた（または漏れたかもしれない）」こと。
しかも、ここ1か月ほどの間に立て続けに起きている。
荷物を送った。焼肉を食べにアプリを入れた。カーシェアに登録した。どれも普通の生活だ。それなのに、名前や住所、電話番号がどこかの誰かの手に渡っているかもしれない。
「犯人は誰なんだ？」「AIを使った攻撃らしいぞ」。ネットではそんな声も飛び交っている。
そもそも「個人情報が漏れる」ってどういうこと？
個人情報とは、「その人が誰なのか」が分かる情報のこと。
名前、住所、電話番号、メールアドレス、生年月日、顔写真などが当てはまる。
会社は、荷物を届けたり、会員カードを作ったりするために、こうした情報をコンピューターに保存している。
そのコンピューターに、悪い人が外からこっそり入り込む。これを不正アクセスと呼ぶ。
たとえるなら、学校の職員室にある名簿を、夜中に忍び込んだ泥棒が丸ごとコピーして持ち帰るようなもの。
名簿そのものはなくならないので、しばらく誰も気づかないこともある。そこが怖いところだ。
いま何が起きているのか
最近発表された主な事案を表にまとめた。
| 会社・サービス | 発表時期 | 何が狙われたか | 漏れた（漏れたかもしれない）情報 | 規模 |
|---|---|---|---|---|
| 焼肉きんぐ（公式アプリ） | 2026年10月5日 | 公式アプリ | 会員番号、名前、メールアドレス、電話番号 | 約1,079万件 |
| ヤマト運輸 | 2026年10月2日 | 通販の「後払い」サービス | 名前、住所、電話番号、メールアドレスなど | 調査中 |
| 佐川急便 | 2026年10月1日 | 荷物の問い合わせサービス | 送り主・届け先の名前、住所、電話番号（約100日分）、会員情報 | 調査中 |
| タイムズカー | 2026年9月28日 | カーシェアのWebシステム | 名前、住所、生年月日、運転免許証の画像など | 免許証画像など約160万件 |
焼肉きんぐは、アプリに登録していた約1,081万件のうち、ほぼ全員分にあたる約1,079万件が漏れた。パスワードや生年月日は含まれていないと発表されている。
ヤマト運輸と佐川急便は、どちらもクレジットカード情報とパスワードは含まれていないとしている。それでも、宅配便の会社から名前と住所と電話番号がセットで漏れた意味は大きい。「〇〇様のお荷物について」という本物そっくりの詐欺メッセージを作る材料になるからだ。
いちばん重いのはタイムズカーの件だ。運転免許証の画像は、銀行口座やスマホの契約で「本人です」と証明するために使う書類。それが大量に流出した可能性がある。実際、自分の名前で勝手に契約されていないかを調べる窓口（信用情報機関のCICやJICC）には申し込みが殺到し、9月末には「手続きが遅れています」というお知らせまで出た。
表に載せた以外にも、画像共有サービスのGyazo（約2,362万件）や、予約サービスのEPARK リラク&エステ（約2,218万件）など、9月から10月にかけて大きな流出が次々と発表されている。
海外も同じ状況だ。デンマークでは、日本のマイナンバーにあたる番号を管理する国のシステムに不正アクセスがあり、約880万人分、つまり国民のおよそ8割の情報が対象になったと報じられた。国内でも9月には、デジタル庁が運用する政府のシステムから約24.6万件の個人情報が漏れた可能性があると発表されている。
ネット掲示板には、こんな声が並んでいた。
- 「今週に入ってから、毎日10件くらい知らない番号から電話が来る」
- 「昔使っていたメールアドレスにだけ迷惑メールが届くと思ったら、通販サイトから漏れていた」
ニュースの向こう側の話ではなく、もう生活のすぐそばで起きている。
黒幕は誰なのか
正直に言うと、今回の事案のほとんどは、犯人がまだ公表されていない。
焼肉きんぐもヤマト運輸も佐川急便も、「第三者による不正アクセス」とは発表しているが、誰がどうやって入ったかは調査中となっている。
ただ、これまでの事件から、攻撃する側にはおおまかに3つのタイプがいると分かっている。
| タイプ | どんな人たち？ | 目的 |
|---|---|---|
| 犯罪グループ | お金目当ての集団。データを盗んで「返してほしければお金を払え」と脅すことも多い | お金 |
| 国の後ろ盾がある集団 | 特定の国の支援を受けているとされるハッカー集団 | 情報集め、お金、相手国の混乱 |
| 内部の人 | 社員や元社員が情報を持ち出すケース。ヤマト運輸でも2025年に元社員の持ち出し事件があった | 転職先での営業など |
AIを悪用しているといううわさは本当か
ここは少しややこしい。「半分本当で、半分はまだ分からない」が正確な答えになる。
まず本当の部分。セキュリティ会社のCrowdStrikeは2026年の報告で、攻撃者がAIを悪用する動きが強まっていると指摘している。
さらに、ソフトの弱点（脆弱性）が見つかってから攻撃が始まるまでの時間がどんどん短くなり、攻撃方法が公開されてから48時間以内に攻撃が始まったケースが88%に上るという。
たとえると、こういうことだ。昔は「この家の窓の鍵が壊れている」と分かってから、泥棒が道具をそろえて忍び込むまでに何週間もかかっていた。いまはAIという優秀な助手がいるので、その準備が数時間で終わってしまう。守る側が修理する前に入られる。
一方で、まだ分からない部分もある。今回の日本の事案で「AIを使って攻撃した」と公式に確認されたものは、記事執筆時点では見当たらない。
ネットのうわさには、根拠のないものも混ざっている。
だから、こう考えておくのがいちばん現実的だ。
黒幕が誰であっても、攻撃のスピードと数はこれからも増える。会社がいくら守っても、漏れるときは漏れる。
犯人探しは警察と専門家に任せればいい。私たちにできるのは、「漏れた後」に備えることだ。
「名札の情報」と「鍵の情報」を分けて考える
対策に入る前に、いちばん大事な考え方を1つだけ押さえておく。
個人情報には、実は2種類ある。
- 名札の情報：「その人が誰か」を示す情報。名前、住所、電話番号、生年月日、会員番号など
- 鍵の情報：「本当にその人か」を確かめる情報。パスワード、スマホの指紋認証や顔認証など
名札は、本来見られても困らないものだ。学校の名札や、年賀状に書く住所と同じで、たくさんの人が知っている。
問題は、名札を見せただけでドアが開いてしまう仕組みのほうにある。
たとえば、電話で「お名前、生年月日、ご住所を教えてください。……はい、ご本人様ですね」と手続きが進んでしまう窓口。
名前も生年月日も住所も、漏れていれば他人が言えてしまう。
名札を見せただけで、家の鍵を渡しているようなものだ。
| 場面 | 確認に使う情報 | 安全度 |
|---|---|---|
| 電話での本人確認 | 名前・生年月日・住所 | 低い（全部名札の情報） |
| パスワードだけのログイン | メールアドレス＋パスワード | 普通（パスワードの使い回しがあると危険） |
| マイナンバーカードでの手続き | カード本体＋暗証番号 | 高い（「持っている物」と「知っていること」の2つ） |
| パスキーでのログイン | スマホ＋指紋・顔認証 | とても高い |
つまり、私たちが守るべきなのは名札ではなく鍵だ。名札が漏れても、鍵がしっかりしていれば大きな被害にはつながらない。
ここから先の手順は、全部この考え方にもとづいている。
自分の情報を「変えられるもの」と「変えられないもの」に分ける
最初にやるのは、自分の情報の整理だ。基準は「漏れた後に変えられるかどうか」。
| 種類 | 例 | 漏れたらどうする？ |
|---|---|---|
| 変えられない | 名前、生年月日、マイナンバー、顔 | 変えられない。最初から「漏れている」と考える |
| 変えにくい | 住所、電話番号 | 簡単には変えられない。悪用されにくい工夫をする |
| 変えられる | パスワード、メールアドレス、カード番号 | すぐ変える。普段から変えやすくしておく |
表を見ると、ちょっと皮肉なことに気づく。本人確認でいちばん大事にされるマイナンバーや生年月日ほど、「変えられない」のほうに入っている。しかも学校、役所、病院、銀行と、あちこちに書いて出してきた。
だから、変えられない情報は「もう漏れている」と割り切る。力を入れるのは、変えられる情報のほうだ。
自分がどこに何を登録しているか、メモアプリに書き出しておくと後で役に立つ。
| 情報 | 種類 | 登録しているところ |
|------------------|------------|------------------------------|
| メインのメアド | 変えられる | 銀行、Amazon、ゲーム、学校 |
| 携帯番号 | 変えにくい | ほぼ全部のアプリのSMS認証 |
| よく使うクレカ | 変えられる | 通販、サブスク |
ニュースで「〇〇から流出」と出たときに、このメモを見れば自分が関係あるかどうかがすぐ分かる。
ログインを「パスキー」に切り替える
パスワードは、頭の中で覚えている「知っていること」の鍵だ。知っていることは、いずれ漏れるものだ。
そこで使いたいのがパスキー。パスキーは、スマホやパソコンの中に鍵をしまっておき、指紋や顔で取り出す仕組み。会社のサーバーにはパスワードのような秘密が残らないので、会社から情報が漏れても鍵は盗まれない。
さらに、偽物のサイトに誘導されても、パスキーはそもそも反応しない。本物のサイトでしか開かない鍵だからだ。
切り替える順番はこうする。
| 優先度 | どこから？ | 理由 |
|---|---|---|
| いちばん先 | Google、Apple、Microsoftなどのメインアカウント | ほかのサービスのパスワード再設定メールが全部ここに届く。ここを取られたら全部取られる |
| 次 | 銀行、クレジットカード、Amazonなどの通販 | お金が直接動く |
| その次 | LINE、Instagram、XなどのSNS | 乗っ取られると友だちへの詐欺に使われる |
設定の流れは、どのサービスでもだいたい同じだ。
- アカウントの設定から「セキュリティ」を開く
- 「パスキーを作成」を選ぶ
- 指紋か顔で登録する
- もう1台の端末（パソコンやタブレット）でも登録する
- 「回復用コード」が出てきたら紙に書いて保管する
4番が大事だ。鍵が1本しかないと、スマホをなくした瞬間に自分も入れなくなる。家の鍵と同じで、スペアキーは必ず作っておく。
パスキーに対応していないサービスでは、「認証アプリ」（Google Authenticatorなど）を使った2段階認証を設定する。SMSで届く確認コードは、何もしないよりはましという程度。電話番号は名札の情報なので、すでに漏れている可能性が高い。
メールアドレスをサービスごとに分ける
ヤマト運輸、佐川急便、焼肉きんぐ。今回の事案では、どれもメールアドレスが流出の対象に入っていた。
1つのメールアドレスを何でもかんでも登録していると、どこから漏れたのか分からないし、迷惑メールも止められない。そこで、サービスごとにメールアドレスを分ける。
| 方法 | かんたんさ | ポイント |
|---|---|---|
Gmailの「+」を使う（例：taro+yakiniku@gmail.com） |
とてもかんたん | 設定不要。ただし「+」から後ろを消せば元のアドレスが分かってしまう |
| iCloud+の「メールを非公開」 | かんたん | ランダムなアドレスを自動で作れる。いらなくなったら止められる |
| 自分のドメイン＋転送サービス | 少し手間 | ブログなどで独自ドメインを持っている人向け。アドレスを好きなだけ作れる |
たとえば焼肉きんぐのアプリに taro+yakiniku@gmail.com で登録していたとする。ある日このアドレスに怪しいメールが届いたら、「漏れたのは焼肉きんぐのアプリからだな」とすぐに分かる。
全部いっぺんに変えなくていい。これから新しく登録するサービスから始めれば十分だ。
自分の名前で勝手に契約されないようにする
名前、住所、生年月日、そして免許証の画像。ここまでそろうと、悪い人は「あなたのふり」をして契約しようとする。クレジットカードを作る、お金を借りる、スマホの回線を契約する、といったことだ。
これをなりすましと呼ぶ。タイムズカーの件で心配されているのも、まさにこれ。防ぐ方法はちゃんとある。
| 対策 | やること | 効果 |
|---|---|---|
| 本人申告 | CICやJICCなどの信用情報機関に「免許証の情報が漏れたかもしれない」と登録する | カード会社などが審査のときに確認するので、勝手な契約を防ぎやすくなる |
| 開示 | 自分の名前でどんな申し込みや契約があるかを取り寄せる | 身に覚えのない契約がないかチェックできる |
| カードの利用通知 | カード会社のアプリで「使うたびに通知」をオンにする | 勝手に使われたらその日のうちに気づける |
| 振込の上限を下げる | ネットバンキングの1日の振込上限を少なくする | もし乗っ取られても、取られる金額を小さくできる |
1つ注意がある。CICやJICCで「自分の情報が漏れたかどうか」を調べることはできない。できるのは「これからの悪用を防ぐ」ことと「すでに悪用されていないか調べる」ことだ。
それから、こうした流出が起きると、必ず「CICの者ですが」と名乗るニセモノの電話が出てくる。CICは公式に、社員が電話やメールで個人情報を聞いたり、お金の振り込みを求めたりすることはないと発表している。手続きは、自分で検索して見つけた公式サイトからだけ行う。
※10代の読者は、カードやローンの契約を自分でしていなくても、家族の情報が漏れている可能性がある。この記事を家の人にも見せてほしい。
「自分のことを知っている電話」を信じない
情報が漏れた後に増えるのは、ハッキングよりもむしろ詐欺だ。それも、こちらのことをよく知っている詐欺。
昔の詐欺電話は「お名前を教えてください」と聞いてきた。これからは違う。
「〇〇様ですね。〇〇市〇〇町にお住まいの。先日お送りしたお荷物の件でご連絡しました」
宅配便の会社から名前と住所と電話番号が漏れた今、こんな電話やSMSはいくらでも作れてしまう。ここまで言われると、つい本物だと思ってしまう。
でも思い出してほしい。名前も住所も、ただの名札の情報だ。相手が自分のことを知っていても、それは相手が本物だという証拠にはならない。
身を守るルールは3つだけ。
- かかってきた電話では手続きしない。 一度切って、公式サイトに載っている番号に自分からかけ直す
- SMSやメールのリンクは押さない。 公式アプリか、ブックマークから開く
- 家族で合言葉を決めておく。 「オレだよ、スマホなくしちゃって」という電話や、AIで作ったニセの声に備える
迷惑電話を減らす設定もしておこう。iPhoneなら「不明な発信者を消音」、Androidなら迷惑電話フィルタ機能、さらに携帯会社の迷惑電話ブロックサービスを組み合わせると効果が大きい。
漏れていないか定期的にチェックする
最後は、自分から見に行く習慣づくりだ。
| サービス | 分かること |
|---|---|
| Have I Been Pwned | 自分のメールアドレスが、過去に漏れたデータの中にあるかどうか |
| Mozilla Monitor | 同じチェックに加えて、新しく漏れたときに通知してくれる |
| パスワード管理アプリのチェック機能 | 使い回しているパスワードや、漏れたパスワードがないか |
チェックの目安はこれくらいで十分だ。
| いつ？ | やること |
|---|---|
| 毎月 | カードと銀行の明細を見る／Mozilla Monitorの通知を確認 |
| 3か月ごと | パスワードのチェック／使っていないサービスを退会する |
| 半年ごと | CICなどで、自分の名前の契約がないか開示する |
| 流出のニュースを見たとき | 手順1のメモを見て、関係があれば手順2〜4をやる |
おまけ：プログラミングに興味がある人へ
自分のパスワードが、過去に漏れたパスワードの一覧に入っていないかを調べるPythonのプログラムを置いておく。
「パスワードをネットに送るなんて危なくない？」と思うかもしれない。でも大丈夫。このプログラムは、パスワードを暗号のような文字列（ハッシュ値）に変換し、その最初の5文字だけを送る。サーバーは「最初の5文字が同じもの」を数百件まとめて返してくるだけで、どれが自分のものかは自分のパソコンの中で調べる。パスワードそのものは外に出ない。
import getpass
import hashlib
import urllib.request
def pwned_count(password: str) -> int:
"""漏れたパスワードの一覧に何回出てくるかを返す。0なら見つからなかった。"""
sha1 = hashlib.sha1(password.encode("utf-8")).hexdigest().upper()
prefix, suffix = sha1[:5], sha1[5:]
req = urllib.request.Request(
f"https://api.pwnedpasswords.com/range/{prefix}",
headers={
"User-Agent": "pwned-password-check",
"Add-Padding": "true",
},
)
with urllib.request.urlopen(req, timeout=10) as res:
body = res.read().decode("utf-8")
for line in body.splitlines():
hash_suffix, count = line.split(":")
if hash_suffix == suffix:
return int(count)
return 0
if __name__ == "__main__":
pw = getpass.getpass("調べるパスワード（画面には表示されない）: ")
n = pwned_count(pw)
if n:
print(f"漏れたパスワードの一覧に {n:,} 回出てきた。すぐ変えよう。")
else:
print("一覧には見つからなかった。")
pwned_check.py という名前で保存して、次のように実行する。
python pwned_check.py
Pythonに最初から入っている機能だけで動くので、追加のインストールはいらない。
ただし、「見つからなかった」からといって安全とは限らない。まだ公開されていない流出もあるし、短いパスワードは総当たりで破られてしまう。「確実にダメなパスワードを見つける道具」くらいに考えておこう。
まとめ
ヤマト運輸、佐川急便、焼肉きんぐ、タイムズカー。大手企業でさえ、個人情報を守りきれない時代になった。
黒幕が誰なのかははっきりしていないが、AIの悪用も含めて攻撃のスピードが上がっているのは確かだ。
だからこそ、考え方を切り替える。
- 名前や住所などの「名札の情報」は、漏れている前提で考える
- 守るのは「鍵の情報」。パスキーで鍵を強くする
- メールアドレスを分けて、漏れた場所が分かるようにする
- CICなどへの本人申告で、勝手な契約を防ぐ
- 自分のことを知っている電話やメールでも、まず疑う
「全部漏れている」と考えて動くと、意外にも不安は小さくなる。何が漏れても、次にやることが決まっているからだ。
コメント