2026年9月、タイムズカー（約660万件）、ムラウチドットコム（約772万件）、デジタル庁（約24.6万件)、セイコーマート（約57万件）のほか、佐賀大学等、業種を問わず大規模な情報漏えい事故の公表が相次ぎました。
本稿では、こうした情報漏えい事故を踏まえ、以下の3つのポイントについて解説します。
・公表されている事実の整理
・「漏れた情報の組み合わせ」によって、どのような被害につながるか
・企業が今すぐ確認すべきセキュリティ管理のポイント
単に「何が漏れたのか」を確認するだけではなく、漏えいした情報がどのように悪用され、どのような被害につながる可能性があるのかという視点から考えていきます。
前提：「今起きている」のではなく「今ようやく公表されている」
9月に公表が集中したのは事実ですが、実際の侵害時期はもっと前です。
・デジタル庁：6月25日検知 → 9月11日公表（約2.5ヶ月後）
・エヌ・イー ケムキャット株式会社：5月28日検知 → 8月20日公表（約2.5ヶ月後）
個人情報保護法では、漏えいを認識した場合、速やか（概ね3～5日以内）に個人情報保護委員会への速報を行う義務があり、多くの事例では第一報は検知から短期間で公表されます。
一方で、大規模な事案では、
・影響範囲の特定（フォレンジック調査）
・漏えい情報の精査
などに時間を要することも少なくありません。
つまり「今この瞬間も、検知されていない、または調査中で未公表の侵害が存在する」前提で対策を考える必要があります。
見落とされがちな事実①：従業員情報の漏えいが深刻
顧客情報だけでなく、「自社従業員の情報」も大量に漏えいしたおそれがある、と報告されています。
・第一生命保険：従業員・退職者の個人情報 約12万人
・ハンズHD：従業員・退職者および扶養者のマイナンバー（閲覧のおそれ）
・中部電力：グループ役職員・委託先社員 約7.2万人
顧客情報の保護には注力していても、「自社で従業員から集めている情報」の管理は盲点になりがちです。
見落とされがちな事実②：「退会済み・退職者の情報」の漏えい
・タイムズカー：退会済み会員、入会未完了者の情報も含む
・イープラス：2022年6月～2026年9月の払戻し情報
・第一生命：退職者を含む個人情報の流出可能性
「いつか使うかもしれない」「システムから消すのが面倒」という理由で保持し続けた情報が、漏えい時の影響範囲を拡大させてしまいます。
重要：「何が漏れたか」ではなく「どのような被害につながるか」を知る
情報漏えいの影響は、「漏れた情報の組み合わせ」で決まります。
これまでに情報漏えい事故は多数発生しています。
皆様が利用しているメールアドレスについては少なからず漏れている可能性が高いと考えるべきです。
では、メールアドレスに「何が加わるか」で、何が起こり得るのでしょうか？
【パターン①】メールアドレス + 氏名・住所・電話番号
■ 想定される被害
・精度の高い標的型フィッシングメール
・実在する人物として信頼される詐欺
・宅配業者を装ったSMS詐欺（住所・電話で裏付け可能）
■ 実例
「○○様、先日ご注文いただいた商品の配送先は△△県××市の住所で間違いないでしょうか？確認のため以下のリンクから再入力をお願いします」
→ 氏名・住所が正確なため、受信者は「本物だ」と信じてしまう
【パターン②】メールアドレス + パスワード
■ 実例
2026年夏に発覚したKDDI系ISPの事例では、メールアドレス約1,223万件、うちパスワード約762万件が漏えいしました。
■ 想定される被害
・他サービスへの不正ログイン（パスワード使い回し前提）
・メールアカウント乗っ取り
・SNSアカウント乗っ取り
・ECサイトでの不正購入
攻撃者は不正に取得した「メールアドレス＋パスワードの組み合わせ」を利用し、Amazon、楽天、メルカリ、Facebook、X等、複数のサービスに対して不正ログインを試行する可能性があります。
パスワードを使い回している場合、「ISPのメールアドレスが漏れただけ」のつもりが、SNS、EC、銀行まで乗っ取られる可能性があります。
【パターン③】運転免許証・本人確認書類の画像（別次元のリスク）
■ 想定される被害（タイムズカー：免許証画像など約160万件）
・なりすまし口座開設（犯罪収益移転防止法違反幇助）
・クレジットカードの不正発行
・暗号資産取引所での本人確認突破
・闇バイトの応募時の身分証明
・携帯電話の不正契約
■ なぜ別次元のリスクなのか？
免許証は「変更できない」からです。
クレジットカードは再発行、パスワードは変更できますが、免許証番号は変わりません。
一度漏れた免許証画像は、半永久的に悪用リスクが残ります。
自社で点検しておきたい3つのセキュリティ観点：VPNの脆弱性 ／ 特権アカウント ／ 不審なアクセスの検知
【①VPN脆弱性】
VPN機器など、外部から接続可能な機器・サービスの脆弱性が、攻撃者の侵入経路となる可能性があります。
自社で点検したいポイント
・利用しているVPN機器やサービスの脆弱性情報を把握できているか
・セキュリティアップデートやパッチを適切に適用できているか
・VPNへの侵入を前提としても、社内システムへのアクセスを制限できる構成になっているか
【②特権アカウント】
管理者や保守・運用担当者など、強い権限を持つアカウントが不正利用されると、重要なシステムやデータへアクセスされるリスクが高まります。
自社で点検したいポイント
・管理者や保守・運用担当者のアカウントにMFAを設定しているか
・必要以上の権限を付与していないか
・不要になったアカウントや権限が残っていないか
【③不審なアクセスの検知】
侵入を完全に防ぐことだけでなく、侵入後の不審な挙動を早期に把握できる仕組みも重要です。
自社で点検したいポイント
・大量のファイルアクセスや通常と異なるアクセスを検知できるか
・ログを取得するだけでなく、異常を検知・通知するルールが設定されているか
・アラート発生後に確認・対応する体制が明確になっているか
重要なのは、「侵入されないこと」だけでなく、侵入された場合でも被害を拡大させず、早期に検知できる状態を整えておくことです。
今すぐ確認すべき7つのポイント
【1. 保有している情報の「組み合わせ」を把握する】
以下の質問に即答できますか？
・顧客DBに「メールアドレス + パスワード」が保存されているか？
・「メールアドレス + クレジットカード情報」が同じDBにあるか？
・本人確認書類（免許証画像）を保持しているか？暗号化されているか？
・従業員のマイナンバー、健康診断結果等の要配慮個人情報はどこに保存されているか？
→ 「組み合わせ」ごとに影響範囲を把握し、最もリスクの高い情報から保護を強化する。
【2. VPN製品の脆弱性パッチ適用状況】
・製品：Fortinet、Palo Alto、Pulse Secure、Cisco等
・対象：2026年春～夏に公開された脆弱性
・確認：パッチ適用の証跡を提示できるか？
【3. 保守・管理者アカウントのMFA設定状況】
・対象：ベンダー保守アカウント、システム管理者アカウント
・確認：多要素認証（MFA）が必須化されているか？
【4. アクセス権の管理状況確認及び見直し】
・ユーザーごとに「必要最小限の権限」になっているか？
・退職者・異動者のアカウントは速やかに削除・権限変更されているか？
・共有アカウント（複数人で使い回し）は残っていないか？
・部門横断の棚卸しを定期的（半期・年次等）に実施しているか？
・「いつか使うかも」で放置されている過剰権限はないか？
→ 攻撃者は「権限の高いアカウント」を狙う。
権限が広ければ広いほど、漏えい時の影響範囲が拡大する。
【5. 退会済み・退職者情報の保持期限確認】
・顧客情報：退会済み顧客の情報を何年保持しているか？
・従業員情報：退職者の情報（マイナンバー、健康診断結果）は？
・確認：法的保持期限（税法7年、労働法3～5年等）を超えていないか？
【6. SOC等の監視ルール範囲の見直し】
・大量ファイルアクセスの検知ルールがあるか？
・SOC等の監視が「見ていない領域」はどこか（VPN、保守アカウント、クラウド）？
【7. インシデント対応計画（IRP）の実効性】
・対策本部の立ち上げ基準は？
・個人情報保護委員会への報告フロー（速報：概ね3～5日以内、確報：30日以内／不正アクセス等は60日以内）は整備されているか？
・顧客への連絡手段（メール？郵送？）とコールセンター体制は？
自社に問いかけてほしい3つの質問
【Q1】もし明日、同規模の漏えいが発生したら、「誰が」「何を」「いつまでに」実行しますか？
【Q2】保持している情報の「組み合わせ」で、攻撃者は何ができるようになるか、把握していますか？
【Q3】退会済み顧客・退職済み従業員の情報は、法的保持期限を超えて放置されていませんか？
基本に忠実なセキュリティ対策を、正しく、迅速に
2026年9月の事故集中は、「他社の事故」ではありません。
同じVPN脆弱性、同じ特権アカウント管理不備、同じ「退会済み・退職者情報の放置」をしている可能性があります。
特に、「保有している情報の組み合わせ」を把握することは重要です。
メールアドレスだけなのか、それ以外の重要情報も含まれているのかによって、影響範囲は異なります。
やるべきこと、考えるべきことは多数あります。
まずは基本に忠実なセキュリティ対策を、正しく、迅速に実施していただくようお願いいたします。
情報処理推進機構（IPA）も、2026年10月9日に公表した注意喚起で、外部公開アプリケーションや利用中の外部サービスの点検、保有データの見直しを呼びかけています。
本稿で紹介したポイントとあわせて、自社の対策に見落としがないか、以下の情報を参考に確認してください。
参考資料・出典
タイムズモビリティ株式会社（タイムズカー）：
https://www.timesmobi.co.jp/news/2026/09/web1.html
https://www.timesmobi.co.jp/news/2026/09/33b24fb783a2d303b7e8664249ab57022cda975d.html
https://www.timesmobi.co.jp/news/2026/09/6485db3607d8a57d84d5e5816132cbafacd8d2cd.html
株式会社ムラウチドットコム：
https://murauchi.com/static-pages/privacy/%E5%BC%8A%E7%A4%BE%E3%81%AB%E3%81%8A%E3%81%91%E3%82%8B%E4%B8%8D%E6%AD%A3%E3%82%A2%E3%82%AF%E3%82%BB%E3%82%B9%E3%81%AB%E3%82%88%E3%82%8B%E3%81%8A%E5%AE%A2%E6%A7%98%E6%83%85%E5%A0%B1%E6%BC%8F%E3%81%88%E3%81%84%E3%81%AB%E9%96%A2%E3%81%99%E3%82%8B%E3%81%8A%E8%A9%AB%E3%81%B3%E3%81%A8%E3%81%94%E5%A0%B1%E5%91%8A%EF%BC%88%E7%AC%AC%E4%B8%80%E5%A0%B1%EF%BC%89.pdf
https://murauchi.com/static-pages/privacy/%E5%BC%8A%E7%A4%BE%E3%81%AB%E3%81%8A%E3%81%91%E3%82%8B%E4%B8%8D%E6%AD%A3%E3%82%A2%E3%82%AF%E3%82%BB%E3%82%B9%E3%81%AB%E3%82%88%E3%82%8B%E3%81%8A%E5%AE%A2%E6%A7%98%E6%83%85%E5%A0%B1%E6%BC%8F%E3%81%88%E3%81%84%E3%81%AB%E9%96%A2%E3%81%99%E3%82%8B%E3%81%8A%E8%A9%AB%E3%81%B3%E3%81%A8%E3%81%94%E5%A0%B1%E5%91%8A%EF%BC%88%E7%AC%AC%E4%BA%8C%E5%A0%B1%EF%BC%89.pdf
デジタル庁：
https://www.digital.go.jp/news/2026-0911-01
エヌ・イー ケムキャット株式会社
https://www.ne-chemcat.co.jp/new_info/info/2026/0820158.html
株式会社セイコーマート：
https://www.secoma.co.jp/images/top/202609290017.pdf
https://www.secoma.co.jp/images/top/202609291530.pdf
https://www.secoma.co.jp/images/top/202609301900.pdf
https://www.secoma.co.jp/images/top/202610051430.pdf
国立大学法人佐賀大学：
https://www.saga-u.ac.jp/koho/press/2026092541515
https://www.saga-u.ac.jp/koho/press/2026092841520
第一生命保険株式会社：
https://www.dai-ichi-life.co.jp/information/pdf/index_192.pdf
ハンズホールディングス株式会社：
https://www.hands-holdings.co.jp/news/news20260622/
https://www.hands-holdings.co.jp/news/news20260825/
中部電力株式会社：
https://www.chuden.co.jp/publicity/press/1218169_3273.html
株式会社イープラス：
https://corp.eplus.jp/press-release/1824/
KDDI株式会社：
https://newsroom.kddi.com/news/assets/2026/kddi_nr_s-71_4593/kddi_nr_s-71_4593_pdf_01.pdf
https://newsroom.kddi.com/news/assets/2026/kddi_nr_s-73_4619/kddi_nr_s-73_4619_pdf_01.pdf