2026年9月28日から10月5日までの8日間に、9つの企業・組織が個人情報の流出を公表しました。
件数が判明しているものだけを足すと約1,844万件です。2件はまだ「調査中」なので、最終的にはもっと増えます。
どれも大きな会社の話です。 ただ、中小企業にとって他人事ではない理由が3つあります。そこを整理します。
018日間に公表された9件
| 公表日 | 組織 | 件数 | 流出した情報 |
|---|---|---|---|
| 9月28日 | パーク24（タイムズカー） | 最大660万件 | 会員情報、運転免許証・住民票の写し画像など |
| 9月29日 | セコマ（セイコーマート） | 約57万件 | 氏名、生年月日、住所、電話番号、メールアドレス |
| 10月2日 | ヤマト運輸 | 調査中 | 氏名、住所、電話番号、メールアドレス、購入明細 |
| 10月2日 | 佐川急便 | 調査中 | 送受信者の氏名、住所、電話番号 |
| 10月2日 | 第一ライフグループ | 約12万人分 | 氏名、住所、電話番号（退職者約7万人分を含む） |
| 10月4日 | 日本経済新聞社 | 約9,000件 | 送信先メールアドレス、氏名、一部のメール内容 |
| 10月5日 | 大阪公立大学 | 少なくとも13万人分 | 氏名、住所、メールアドレス |
| 10月5日 | 物語コーポレーション（焼肉きんぐ） | 1,078万8,963件 | 会員番号、氏名、メールアドレス、電話番号 |
| 10月5日 | 大和証券 | 約22万件 | 個人を特定できる情報 約11万件ほか |
焼肉きんぐの件は、公式アプリの登録者1,080万8,784人のうち1,078万8,963件です。ほぼ全員です。
02理由1：まず、自分が「漏れた側」に入っている
この一覧を見て最初に確かめるべきなのは、自社のセキュリティではありません。自分と社員が、これらのサービスに登録しているかどうかです。
焼肉きんぐのアプリ、タイムズカー、セイコーマートの会員、宅配便の問い合わせ。どれも普通に使うものです。
焼肉きんぐのケースでは、流出したのは会員番号・氏名・メールアドレス・電話番号で、ログインパスワード、生年月日、クレジットカード情報は含まれていないと発表されています。カード情報はそもそも保有していないとのことです。
それでも安心はできません。 氏名とメールアドレスと電話番号が揃うと、次のことができるようになります。
- 本人の名前で呼びかけるフィッシングメールが作れる。「○○様、ご登録情報の確認のため」という形式は、宛名が合っているだけで疑われにくくなります
- 流出したメールアドレスを使って、他のサービスへのログインが試される。パスワードを使い回していると、1か所の流出が全部に波及します
- 電話番号があるので、SMSや電話での詐欺にも使われます
パーク24のケースは、さらに深刻です。運転免許証や住民票の写しの画像が含まれています。 これは差し替えのきかない情報です。パスワードは変えられますが、免許証の記載内容は変えられません。
03理由2：委託先・サービス経由の流出が複数ある
一覧をもう一度見てください。自社のサーバーが直接破られたケースだけではありません。
- 大和証券 — 委託先（スカラコミュニケーションズ）への不正アクセス
- ヤマト運輸 — 「クロネコ代金後払いサービス」への不正アクセス
- 佐川急便 — 「お荷物問い合わせサービス」への不正アクセス
- 第一ライフグループ — 従業員向けの人事システムへの不正アクセス
自社がしっかりしていても、情報を預けた先から漏れます。 そして預けた側が公表と謝罪をすることになります。
ここが中小企業に直接関わる部分です。立場が逆になる場合があります。
取引先の名簿、顧客リスト、従業員の情報を預かっている会社は、取引先から見れば「委託先」です。 攻撃する側から見ると、本命の大企業に直接入るより、出入りしている小さな会社から入るほうが簡単です。
「うちは小さいから狙われない」ではなく、「小さいから入口に選ばれる」という方向で考える必要があります。
04理由3：1,000人を超えなくても、報告の義務がある
ここは誤解されていることが多い点です。
個人情報保護法では、漏えいが起きたとき個人情報保護委員会への報告と、本人への通知が義務です。報告が必要になるのは、次のいずれかに当てはまる場合です。
- 要配慮個人情報が含まれる
- 財産的被害が生じるおそれがある
- 不正の目的をもって行われたおそれがある
- 1,000人を超える漏えい
3つ目に注目してください。 不正アクセスによる流出は「不正の目的」に当たります。つまり件数が1,000人以下でも、1件でも、報告の義務が生じます。
「100件程度だから社内で収めよう」は通りません。
期限も決まっています。
| 期限 | |
|---|---|
| 速報 | 発覚から 3〜5日以内 |
| 確報 | 発覚から 30日以内（不正の目的のおそれがある場合は 60日以内） |
| 本人への通知 | 状況に応じて速やかに |
発覚してから3日です。 原因が分からない段階でも、まず報告が必要になります。この期限を知らないまま調査に時間をかけると、それだけで法令違反になります。
05今日できること、4つ
特別なことではありません。今回流出した情報の使われ方を考えると、効くのはこの順です。
1. パスワードの使い回しをやめる（最優先）
これが一番効きます。 流出したメールアドレスは、必ず他のサービスで試されます。
全部を変えるのは大変なので、メール・ネットバンキング・クラウド会計・業務システムの4つだけ先に、他と違うパスワードにしてください。この4つが破られると被害が金銭に直結します。
2. 多要素認証を入れる
パスワードが漏れても、スマホの確認が追加であれば入られません。上の4つから順に設定してください。
3. 身分証の画像の扱いを決める
パーク24の件が示したのは、免許証や住民票の画像は取り返しがつかないということです。
- 社内で、身分証の画像をメールやチャットで送る運用をやめる
- 採用や取引で預かった身分証の画像を、いつまで持つか決める。目的が終わったら消す
- サービスに提出するときは、何のために使われ、いつ消えるのかを確認する
4. 「漏らしたとき」の紙を1枚作る
発覚から3日で動く必要があります。その場で調べ始めると間に合いません。
A4で1枚、こう書いておくだけで十分です。
- 誰が判断するか（代表の連絡先）
- 誰に連絡するか（個人情報保護委員会、取引先、顧客、警察、委託先、こちらのような外部）
- 何を最初に止めるか（ネットワークの切断、該当サービスの停止）
- 預かっている個人情報がどこに何件あるか
4つ目が一番時間がかかります。 件数が分からないと報告書が書けません。落ち着いているうちに書き出しておく価値があります。
06分からないこと
正直に書いておきます。
原因が公表されていないものが多いです。 焼肉きんぐのケースも、不正アクセスを受けたことと、10月2日に確認して通信を遮断したことは公表されていますが、どこから入られたかは発表されていません。
同じ攻撃者によるものかどうかも分かりません。 8日間に9件が集中していますが、関連があるという発表はありません。偶然に見えないのは確かですが、確認できていないことを断定はできません。
ヤマト運輸と佐川急便の2件は件数が調査中です。最終的な規模はまだ分かりません。
07まず何から
全部を一度にやる必要はありません。今日やるなら、パスワードの使い回しを4つだけ直すところからで十分です。それだけで、今回の流出から波及する被害のほとんどを止められます。
「どこに何の個人情報を持っているか分からない」という段階でのご相談で構いません。書き出す作業からお手伝いします。 ご相談は無料です。LINEからでもお気軽にどうぞ。
---
出典：各社・各組織の公表内容（2026年9月28日〜10月5日）。一覧はリスク対策.com「相次ぐ情報漏えいとサイバー攻撃＝わずか1週間で企業・大学に被害拡大」に基づいています。焼肉きんぐの件数・流出項目はアスキー（2026年10月5日）の報道による物語コーポレーションの発表内容です。報告義務と期限は個人情報保護委員会「漏えい等報告・本人への通知の義務化について」に基づいています。