金曜の夕方、利用中のサービスから一通のメールが届く

金曜の17時。顧客管理に使っているサービスの運営会社から、こんなメールが届きます。

「当社システムが不正アクセスを受け、お客さまの顧客情報が外部に流出した可能性があります。詳細は調査中です」

自社の顧客は含まれているのか。サービスを止めるべきか。週明けに問い合わせが来たら、窓口は何と答えるのか。調査結果を待つあいだにも、判断は次々に求められます。

見落とされがちなのは、委託先で起きた漏えいでも、報告対象に当たれば、顧客情報を預けた自社にも原則として個人情報保護委員会への報告や本人への通知の義務がある点です。原則は委託元・委託先の双方が対象で、委託先が委託元へ所定の通知をした場合には、委託先の報告・本人通知義務が免除される仕組みがあります。

これは情報システム部門だけで完結する話ではありません。経営、業務、法務、顧客対応の担当者が「何を止め、何を伝え、どこから直すか」を決める仕事です。

584件のデータが示すのは「件数」より「経路」

株式会社カトルセの「セキュリティ事故DB 2026」は、2026年6月3日〜10月21日に国内で公表された情報漏えい・セキュリティ事故584件を整理しています。同じ委託先の事故でも、利用組織ごとの公表が別の行になる集計です。そこから見えるのは、次の3点です。

  • 半数超が「連鎖」：584件のうち303件は、委託先や共通基盤（クラウド、SaaSなど）の事故が、利用企業・自治体の公表として広がったものです。こうした連鎖をまとめると、根っこの事故は328件になります。
  • 規模は一部に集中：公表された最大値の合計は約2.64億。ただしその94%を、同DBが「100万件以上」に分類した32件が占めています。
  • 4件に1件は業務も止まった：サービス停止や出荷停止など、業務への影響を伴った事故が155件ありました。

大企業だけの話でも、大量の顧客情報を持つ会社だけの話でもありません。使っているサービス一つで、自社も公表や顧客対応の当事者になり得ます。

なお、2.64億という数字は扱いに注意が必要です。公表された最大値（「漏えいの可能性」を含む）の単純合計で、件・人・アカウントが混在し、内数の重なりも一部含みます。出典を確認できなかった24件も集計に入っています。国内の全事故の統計でも、被害を受けた実人数でもありません。自社の備えを考えるうえでは、数字の大きさに加えて「どこから漏れたか」に目を向けることが役に立ちます。

目標を「起こさない」から「被害を小さくする」へ広げる

更新の徹底や認証の強化は、これからも欠かせません。それでも、新たな脆弱性、設定ミス、委託先の事故まで含めて、事故の可能性をゼロと約束することはできません。

同じ連絡を受けても、顧客情報の保存先や管理者が分からない会社と、対象をすぐに調べてアクセスを止められる会社とでは、取れる行動がまるで違います。

備えの目標を、「事故を起こさない」に加えて「起きたときに被害を小さくできる」まで広げる。この記事の出発点はそこです。

初動：広がりを止めながら、記録を残す

漏えいが疑われたら、まず対応責任者に連絡し、次の3つを時刻とともに記録します。

  • いつ気づいたか（発覚した時刻）
  • 何が確認できているか（事実）
  • 誰が何をしたか（実施した操作）

法令上の報告期限の起算点は、経営層に上がった日ではなく、法人の場合は「社内のいずれかの部署が報告対象の事態を知った時点」が基準です。この記録は、後で報告書を書くときの土台にもなります。

経営側は、業務の停止や外部専門家への依頼を誰が決めるかをはっきりさせます。

技術担当者は、業務への影響を見ながら、侵害が疑われる端末・アカウント・接続を切り離します。同時に、調査に必要なログを保全します。原因が分からないまま初期化やログの削除を進めると、何が起きたかを確かめる手がかりが消え、影響範囲を判断できなくなるおそれがあります。

委託先やクラウドが関わる場合は、事業者に調査状況とログの保全を確認します。「自社で調べられる範囲」と「相手の協力が必要な範囲」を分け、窓口役を一人決めておくと、やり取りを整理しやすくなります。

判断に迷ったら、外部に相談できます。IPA（情報処理推進機構）は10月16日に「不正アクセス特別相談窓口」を開設し、被害やその疑いがある企業・組織の初動について、応急処置の助言や専門業者一覧の紹介を行っています。電話の受付時間は平日9時30分〜17時30分（12時〜13時を除く）で、メールの回答が翌営業日以降になる場合もあります。相談先とあわせて、時間外に社内で判断する人も決めておきます。

10月9日の注意喚起でも、外部公開アプリやクラウドなど外部サービスのログ・アカウントを点検し、異常があればインシデントとして対応し、専門業者に詳細調査を依頼することを強く推奨しています。

※ここで示した初動の流れは当社の提案です。実際の隔離や復旧の判断は、事案と業務の特性に合わせて行ってください。

顧客への説明は「自分を守るために使える」ことを最優先に

顧客が知りたいのは、会社が調査していることに加えて、「自分にどんな影響があり、いま何をすればいいか」です。

原因が確定するまでの間も、不安と手間をかけていることへのお詫びは伝えられます。委託先で起きた事案でも、自社の窓口で確認状況をまとめ、顧客に案内します。

説明は、次の4つに分けて整理すると伝わりやすくなります。

区分 書くこと
分かっていること 起きた事態、対象となる情報と範囲、実施した対応
確認中のこと 漏えいの有無や対象人数など、まだ結論を出せない項目
お客さまにお願いしたいこと 情報の種類に応じた注意点、支援の内容、問い合わせ先
次のお知らせ 続報の掲載場所と、次の案内の予定

初報の文面例

氏名・メールアドレスが対象となる可能性がある場合の例です。情報項目、カード情報の保有有無、連絡方法、続報の期限は、確認できた事実と自社の運用に合わせて置き換えます。

件名：【重要】当社が利用する外部サービスへの不正アクセスに関するお知らせとお詫び

平素より〇〇をご利用いただき、ありがとうございます。
当社が顧客管理に利用している外部サービスが不正アクセスを受け、お客さまの氏名・メールアドレスが外部に流出した可能性があることが分かりました。ご心配とご迷惑をおかけし、深くお詫び申し上げます。

■現時点で分かっていること
・対象となる可能性がある情報：氏名、メールアドレス（〇月〇日時点）
・クレジットカード情報は、当該サービスでは保有していません

■確認中のこと
・実際に流出したかどうか、対象となるお客さまの範囲

■お客さまへのお願い
・本件に便乗した不審なメールにご注意ください。当社からメールでパスワードやカード番号をお尋ねすることはありません

■次のお知らせ
・〇月〇日までに、当社ウェブサイト（〇〇）で続報をお知らせします
・お問い合わせ：〇〇窓口（電話〇〇／受付時間〇〇）

情報の種類によって、添える案内は変わります。メールアドレスなら便乗詐欺への注意を。ID・パスワードなら、会社側で必要なリセットやセッションの無効化を進めたうえで、顧客にお願いする操作を具体的に示します。案内そのものを装う詐欺もあるため、問い合わせ先は、普段使っている公式サイトやアプリからたどれる場所に置きます。

「不正利用は確認されていない」と書くときは、どこまで調べた結果なのか、いつ時点なのかを添えます。調べきれていない部分が残るうちは、「安全が確認できた」と受け取られる表現は避けます。

顧客に変更や確認をお願いするなら、その負担にも目を向けます。手順を短くし、困ったら人に相談できる窓口を置く。補償や費用負担の方針は、実際に提供できる内容が決まってから伝える。誠実さは、こうした細部に表れます。

法令上の報告・本人通知は、調査と並行して確認する

説明の方針と同時に、法令上の義務も早めに確認します。民間事業者の場合、個人データの漏えい等（そのおそれを含む）が次のいずれかに当たると、原則として個人情報保護委員会への報告と本人への通知が必要になります。

  • 要配慮個人情報（病歴など）が含まれる
  • 不正に使われると財産的被害が生じるおそれがある（クレジットカード番号、決済できるサービスのID・パスワードなど）
  • 不正アクセスなど、不正の目的をもって行われたおそれがある行為による
  • 対象となる本人の数が1,000人を超える

上の3つは、1人分でも対象になります。また、漏えいが確定していなくても「おそれ」の段階で対象になります。高度な暗号化等による例外があり、不正目的の類型には取得予定等の一定の個人情報も含まれます。正確な対象と例外は、個人情報保護委員会の案内で確認します。

報告は2段階です。

区分 時期・期限 内容
速報 知った時点から速やかに（おおむね3〜5日以内が目安） その時点で分かっていること
確報 知った日から30日以内（不正目的のおそれがある行為による事案は60日以内） 原因や対象人数を含む所定の項目

速報は、すべてが判明するまで待つ制度ではありません。分からない項目は「調査中」として報告できます。確報の期限までに合理的な調査を尽くしても未判明の事項があれば、その時点で把握した内容を報告し、判明次第追完します。本人への通知も、事態の状況に応じて速やかに行います。詳しくは、個人情報保護委員会の「漏えい等の対応とお役立ち資料」と「通則ガイドライン」3-5で確認できます。

Webでの公表、本人への通知、委員会への報告は、それぞれ別の対応です。本人への通知が難しい場合に、本人の権利利益を保護するために必要な代替措置をとる例外などを除き、公表しただけでは本人に通知したことになりません。業種別のルールや委託関係を含め、個別の判断は法務担当者や専門家と確認してください。

なお、2026年7月17日に公布された改正個人情報保護法には、本人通知や漏えい等報告の見直しが含まれます。改正法は一部を除き、公布日から2年以内で政令で定める日に施行されるため、公布されたことだけで新しい扱いを適用せず、対応時点で施行されている法令・規則を確認します。

再発防止は「顧客への被害」と「業務への影響」で順番を決める

事故の後は、更新、権限整理、教育、監視と、課題が一気に出てきます。すべてを同時に終えられないときは、顧客に生じる被害と業務への影響を基準に優先順位を付けます。ただし、進行中の侵害への対応は、計画を待たずに進めます。

① 同じ経路からの被害を止める

原因となった弱点や不正な接続を調べ、修正、認証情報の失効、不要な公開の停止を進めます。修正した後は、実際の利用経路で対策が効いているかを確かめます。従業員への注意喚起だけで終わらせず、一度の操作ミスで大量の情報が流出しない仕組みを考えます。

② 情報と権限の範囲を小さくする

顧客情報を、どこに、何のために、いつまで保管しているかを見直します。法令・契約上の保存義務や、調査のための保全を確認したうえで、不要な収集や長期保管を減らします。IPAも10月9日の注意喚起で、保有データを必要最小限にするよう求めています。

誰が一括でデータを取り出せるか、退職者や委託先の権限が残っていないかも確認します。病歴や本人確認書類など、悪用されたときの影響が大きい情報は、件数が少なくても優先します。

この見直しには、生成AIも含めてください。前述のDBには、従業員や委託先の担当者が生成AIに個人情報を入力したことによる事案の公表も含まれています。AIツールやAIエージェントに顧客データへのアクセスを渡しているなら、それも見直すべき「権限」の一つです。

③ 復旧と説明を続けられるか、実際に試す

バックアップは、復元を試して初めて、戻せる範囲とかかる時間が分かります。侵害されたアカウントからバックアップまで消されないか、安全な復元時点を判断できるログが残っているかも確認します。IPAの「ランサムウェア被害から学ぶ教訓集」も、バックアップとログの整合性の確保を教訓の一つに挙げています。

システムが止まっている間も、顧客への説明と問い合わせ対応は続きます。代替の連絡手段、情報を更新する担当、業務再開を判断する人まで含めて演習します。システムを元に戻せても、外に出た情報を回収できるとは限りません。顧客への支援は、復旧とは別に続けます。

今週、30分でできること

まずは、受注や会員管理など、顧客情報を扱う業務を一つ選んでください。その業務の担当者、IT担当者、判断する経営者で30分ほど時間を取り、次の問いに答えてみます。

「明日、ここから情報が漏れたかもしれないと分かったら、誰がアクセスを止め、誰が範囲を調べ、誰がお客さまに説明するか」

答えに詰まったところを一つ選び、担当と期限を決めます。たとえば、次のようなことです。

  • 委託先・利用サービスの緊急連絡先を確かめる
  • 上の文面例をもとに、自社版の初報を作ってみる
  • バックアップを復元する担当と日程を決め、実際に試す

その一歩を、次の演習と改善につなげます。

大きな数字の背後には、「自分の情報はどうなったのか」と不安に思う一人ひとりがいます。その不安と被害を少しでも減らすために、予防を続けながら、起きた後に動ける準備を整えていきましょう。

U-Recは、AIを業務に取り入れる企業のセキュリティを支援しています。生成AIやAIエージェントの導入に伴う情報管理について、お気軽にご相談ください。お問い合わせ

参考資料と確認範囲

2026年10月30日確認。特記のない月日は2026年です。カトルセの集計は公表ベースで、元集計の全事案を当社が独立に検証したものではありません。対応例と優先順位は当社の実務上の提案であり、個別事案の法的判断を示すものではありません。