2026年9月から10月にかけて、タイムズカー、ブックオフなど大手企業の個人情報漏洩事件が相次いで報道されています。
今回は、最近の情報漏洩事件を踏まえて、中小企業で働く個人が取り組むべき対策を整理します。
情報漏洩はなぜ起こるのか
情報漏洩の主な原因としては、システムの脆弱性や設定不備を悪用した攻撃と、認証情報を悪用した不正アクセスが挙げられます。
システムの脆弱性とは、ソフトウェアの不具合や設計上の問題などによって、本来アクセスできない情報に第三者がアクセスできてしまうような弱点のことです。また、IDやパスワードだけでなく、APIキーやログイン状態を維持するための情報が盗まれて悪用される場合もあります。
さらに、従業員を騙してログイン情報を入力させるフィッシング攻撃や、取引先のシステムを経由した攻撃、社内の人的ミスなども情報漏洩の原因になります。
JPCERT/CCが2026年10月8日に公表した注意喚起では、既知の脆弱性や管理不備を探索する攻撃、不正なAPIリクエスト、Webサーバーを経由した侵入などが報告されています。ただし、すべての事件が同じ手法で攻撃されたと判明しているわけではありません。
パスワードの使い回しは今すぐやめる
個人ができる対策のなかでも、特に重要なのがパスワードの使い回しをやめることです。
弊社の知る中でも、何度注意喚起しても複数のサービスで同じパスワードを使い続ける人は複数いて、頭が痛いところなのですが、パスワードの使いまわしは非常に危険です。
例えば、あるネット通販サイトからメールアドレスとパスワードが漏洩したとします。同じ組み合わせを仕事用のメールや会社のシステムでも利用していた場合、攻撃者はその認証情報を使って別のサービスへのログインを試みることができます。これはパスワードリスト攻撃と呼ばれます。
自分が利用しているサービスの一つで情報漏洩が起きただけなのに、まったく関係のない会社の業務システムまで不正アクセスされる可能性があるのです。
とはいえ、数十個ものパスワードをすべて覚えることは現実的ではありません。そこでよく使われるのが、1Passwordなどのパスワードマネージャーです。サービスごとに長くランダムなパスワードを作成し、安全に保存できるため、使い回しを避けやすくなります。業務用アカウントについては、会社が認めるパスワードマネージャーを利用しましょう。
多要素認証とパスキーを積極的に使う
パスワードだけでなく、多要素認証を設定することも重要です。多要素認証とは、パスワードに加えて、スマートフォンの認証アプリや生体認証など、別の要素を組み合わせて本人確認を行う方法です。仮にパスワードが漏洩しても、それだけではログインできない状態を作ることができます。
特に、仕事用メール、GoogleやMicrosoftのアカウント、金融サービスなどでは優先的に設定したいところです。
また、対応しているサービスではパスキーの利用もおすすめします。パスキーは従来のパスワードとは異なる仕組みで認証を行い、偽のログインサイトで認証情報を盗まれる危険性を大きく減らすことができます。
ただし、多要素認証を設定していれば絶対に安全というわけではありません。突然届いた認証通知を承認したり、認証コードを他人に教えたりすれば、不正アクセスにつながる可能性があります。身に覚えのない認証要求には絶対に応じないことが大切です。
使っていないサービスのアカウントは整理する
今回のタイムズカーの事件では、退会済みの会員情報も漏洩対象となりました。これを聞いて、「退会しても情報が残るのなら意味がないのではないか」と考える人もいるでしょう。
実際、サービスを退会しても、多くのウェブサービスでは「退会フラグ」をONにしたりメールアドレスをランダムな文字列に変更するだけで、データ自体の物理削除をしないケース（退会前の情報が残っているケース）が多いと考えられます。
しかし、だからといって退会に意味がないわけではありません。使っていないサービスのアカウントは整理することをおすすめします。
なお、物理削除されないことを念頭にして、退会前に氏名やメールアドレスを架空の情報に変更する方法もありますが、必ずしも有効ではありません。変更前の情報が履歴などに残っている場合もあるためです。むしろ、最初から必要以上の個人情報を登録しないことが重要です。例えば、任意入力のプロフィール情報、住所、趣味嗜好、決済情報など、本当に登録が必要なのかを考える習慣を持ちましょう。
漏洩した個人情報はフィッシング詐欺に悪用される
個人情報の漏洩によって心配されるのは、情報そのものが第三者に知られることだけではありません。近年警戒したいのが、漏洩した情報を利用したフィッシング詐欺です。
従来のフィッシングメールには、不自然な日本語や、誰にでも当てはまるような内容のものが多くありました。しかし、攻撃者が氏名、住所、生年月日、勤務先、利用しているサービス、過去の問い合わせ内容などを把握していたらどうでしょうか。
例えば、生命保険に加入していることを知っている攻撃者が、実在する保険会社を装って契約確認のメールを送ってくるかもしれません。あるいは、勤務先や取引先の情報を利用して、担当者になりすまし、請求書の送付や振込先口座の変更を求めてくる可能性もあります。
AIによって自然な文章を大量に作成できるようになった現在では、日本語がおかしいという理由だけで詐欺メールを見抜くことは難しくなっています。そのため、メールの内容がもっともらしいかどうかではなく、その連絡が本当に正しい相手から届いているかを確認することが必要になります。
特に、振込先の変更、パスワードの再設定、認証コードの入力、重要書類の送付などを求められた場合には、メールに記載された連絡先ではなく、あらかじめ把握している電話番号や公式サイトなど、別の経路で確認しましょう。相手が自分の氏名や個人的な情報を知っているからといって、その相手が本物である証拠にはなりません。
まとめ
情報漏洩事件が発生したとき、企業側のシステムに対する攻撃を一般の利用者が防ぐことはできません。しかし、情報漏洩が別のサービスの不正ログインにつながることや、個人情報を悪用した詐欺の被害に遭うことは、日頃の対策によってリスクを減らせます。特に、パスワードの使い回しをやめること、多要素認証やパスキーを利用すること、不審な連絡を鵜呑みにしないことは、すぐに始められる重要な対策です。
最後に、今日から取り組める対策をチェックリストにまとめました。まだ対応していない項目があれば、この機会に見直してみてください。
今日からできる情報漏洩対策チェックリスト
アカウント・パスワードの管理
-
サービスごとに異なるパスワードを設定している
-
パスワードマネージャーを利用している
-
メールや重要なサービスで多要素認証・パスキーを設定している
-
身に覚えのないログイン通知や認証要求を承認しない
-
使っていないサービスのアカウントを定期的に整理している
個人情報の管理
-
サービス登録時に不要な個人情報を入力しない
-
不要になったプロフィール情報や保存済み決済情報を整理している
- 自分の個人情報を知っている相手でも、安易に信用しない
フィッシング詐欺への対策
-
メールやSMSのリンクから安易にログインしない
-
重要な手続きは公式アプリやブックマークから行っている
-
振込先変更や認証コードの要求は別の連絡手段で確認する
-
不審な添付ファイルやURLを開かない
すべてを一度に完璧にする必要はありません。まずはパスワードの使い回しをやめ、多要素認証を設定するところから始めましょう。