大手企業から次々と流出する個人情報

最近、個人情報流出のニュースを見ない日がないほど、大手企業による情報流出の発表が相次いでいる。

GMO、ローソン、焼肉きんぐ、ブックオフ、ソースネクスト、カプコン、無印良品、ノジマ、NTTドコモなど、その名前を聞けば誰もが知っている企業ばかりだ。

そして、メール配信サービスへの不正アクセスによって、数千万件もの情報が流出し、多くの企業に被害が広がっている。

ここで、私は二つの疑問を感じている。

一つ目は、個人情報保護法という法律が存在するにもかかわらず、なぜこれほど簡単に大量の個人情報が流出してしまうのか、ということ。

二つ目は、そもそも個人情報が盗まれたとして、その情報だけで犯罪者には何ができるのか、ということだ。

もちろん、個人情報が盗まれることを容認しているわけではない。

ただ、情報流出というニュースを一括りにするのではなく、何が漏れたのか、それがどれほど危険なのか、法律はどこまで被害者を守ってくれるのかを冷静に考えたい。

まずは、実際に何が起きているのかを振り返ってみる。

2026年10月5日以降に発表された主な情報流出事案

以下は、2026年10月5日から11月8日までに確認できた、大手企業・著名サービスを中心とする情報流出事案の一覧である。

表の見方

「確認」：情報の外部流出が公表資料などで確認されている事案
「可能性」：流出のおそれがあるもの、または影響範囲の調査が続いている事案
「関連」：外部委託先などへの攻撃が原因となった事案

件数は各社の公表値や続報に基づく概数であり、流出確認済みの人数とは限らない。複数企業に同じ情報が含まれる場合もあるため、合計して被害者数を算出することはできない。

10月5日〜20日

公表日	企業・サービス	公表規模	状況
10/5	GMOリサーチ＆AI（infoQ）	約89.4万件	確認
10/5	物語コーポレーション（焼肉きんぐ）	約1,079万件	確認
10/5	大和証券	約11万人	関連・可能性
10/5	セイコーマート	約57.5万件	続報
10/5	大起水産	約17.5万人	可能性
10/6	ミスターマックス	約173.5万人	確認
10/6	シチズン時計	約10万人	関連・可能性
10/6	旭化成セラピューティクス関連	最大約51.4万人	関連・可能性
10/6	スカラコミュニケーションズ	最大約71.3万件	可能性
10/8	ローソン	約215.5万件	確認
10/8	第一興商	約872.4万件	関連・可能性
10/8	ユーザベース（NewsPicks）	最大約32.3万件	可能性
10/8	オリックス生命	約2.7万件	関連・可能性
10/9	ブックオフグループ	最大約643万件	一部確認
10/9	アドベンチャー（skyticket）	約1,464万件	一部確認
10/9	ディップ（バイトル）	最大約388.6万件	可能性
10/9	JR東日本	延べ約206万件	可能性
10/9	JR九州	約130万件	関連・可能性
10/9	手間いらず	約445万件	調査・続報
10/11	アルカディア（防災メール）	最大約313万件	可能性
10/13	ライドオンエクスプレス（銀のさら）	最大約650万件	可能性
10/15	バーガーキング	約1,118万件	確認
10/15	ソースネクスト	約2,252万件	確認
10/16	日本経済新聞社	約183万件	確認
10/16	ファンケル・アテニア	合計約83.5万件	確認
10/16	Eストアー（ショップサーブ）	約2,335万件	続報
10/17	上新電機（Joshin）	最大約623万件	可能性
10/19	阪急阪神百貨店	約126万件	確認
10/19	ニフティ	最大約54.3万件	可能性
10/19	ユミルリンク（Cuenote FC）	延べ約5,163万件	可能性・続報
10/20	トラストバンク（ふるさとチョイス）	約445.4万件	確認

10月21日〜31日

公表日	企業・サービス	公表規模	状況
10/21	リクルート（カーセンサー）	最大約371万件	可能性
10/21	GMOインターネット（デスクトップクラウド）	影響可能性のあるサーバー26,739件	別件・不正アクセス
10/22	カプコン（CAPCOM ID）	約1,177万件	確認
10/23	リンツ＆シュプルングリージャパン	約314.7万件	関連・確認
10/23	トレジャー・ファクトリー	約74.6万件	確認
10/23	アンドエスティHD	顧客約250万件	可能性
10/24	ピッコマ	約100.2万件	関連・確認
10/27	ソニーネットワークコミュニケーションズ	約258.5万件	確認
10/28	花キューピット	約423.8万件	確認
10/28	ソニー生命保険	約38.5万件	確認
10/28	日本航空・日本トランスオーシャン航空	約9.2万件	関連・可能性
10/29	アララ（アララメッセージ）	約8,133万件	確認・可能性混在
10/30	全日本空輸（ANA）	約3.8万人	関連・確認
10/30	良品計画（MUJIアプリ等）	最大約2,726万件	可能性
10/30	松屋フーズ	約237.7万件	確認
10/30	ワールド（RAGTAG関連）	延べ約120万件	可能性
10/30	ヤクルト本社	約4万件	確認
10/30	日本交通	約29万人	可能性
10/31	クラブツーリズム	約432万件	可能性

※ユミルリンクの約5,163万件は10月26日の続報、アララの約8,133万件は11月6日の続報による規模。

※GMOインターネットのサーバー件数は個人情報の人数・件数ではなく、不正アクセスの影響範囲を示す数値である。

※良品計画では11月4日の続報で、当初発表された項目以外の情報や、一部のカード情報への不正アクセスの可能性も明らかになっている。

11月1日〜8日

公表日	企業・サービス	公表規模	状況
11/2	ノジマ	約700万件	確認
11/2	アイスタイル（@cosme）	約300万人	確認
11/2	サントリーホールディングス	約10万人	確認
11/2	ビックカメラ・コジマ・ソフマップ	合計約1,490万件	関連・可能性
11/2	プレステージ・インターナショナル関連	最大約550万件	確認・調査中
11/2	北陸電力	約55万件	関連・確認
11/2	TKC	最大約223.1万件	関連・確認
11/2	ウィルズ（ネットマイル）	最大約549万件	可能性
11/3	アソビュー	約1,582.1万件	関連・確認
11/3	大阪ガス（FitDish）	約3.4万件	関連・確認
11/3	小田急トラベル	約6.3万件	関連・確認
11/3	丸井グループ	最大約9,086件	関連・確認
11/4	モスフードサービス	約751.7万件	関連・確認
11/4	プレナス（ほっともっと）	最大約700万件	確認
11/4	ワークマン	最大約145万件	関連・確認
11/4	IIJ（IIJmio）	約98.3万件	関連・確認
11/4	ダスキン	約65.8万件	関連・確認
11/4	住友不動産	約20.5万件	関連・確認
11/4	松竹マルチプレックスシアターズ	約332万件	関連・確認
11/5	GMOメイクショップ	約1,260万件	関連・確認
11/5	カカクコム（価格.com・食べログ等）	約570万件	関連・確認
11/5	NTTドコモ	最大約29.5万件	確認・続報
11/5	SMBCコンシューマーファイナンス	最大約32万人	確認
11/5	三井住友銀行	約22.7万件	関連・確認
11/5	三井不動産	約13.3万件	関連・確認
11/5	NTTタウンページ	約14.2万件	関連・確認
11/5	コナカ	約43.4万件	確認
11/5	松井証券	最大約83万件	関連・確認
11/5	損害保険ジャパン	約6.5万件	関連・可能性
11/5	GMOペイメントサービス	最大約10.7万件	関連・確認
11/6	ロート製薬	約279.8万人	確認
11/6	チームスピリット	約2.9万件	確認
11/6	日本ネットワークセキュリティ協会（JNSA）	最大約1.5万件	可能性
11/7	シグナルトーク（Maru-Jan）	約185.6万人	確認

この一覧だけでも、実に多くの企業が関係している。

ただし、これがすべて独立したサイバー攻撃だったわけではない。

アララ、ユミルリンク、フューチャーショップなどの外部サービスへの攻撃によって、契約企業の顧客情報がまとめて流出した事案が含まれている。

同じ情報が複数社の発表に含まれる可能性も高いため、上記の数字を合計して「日本人の何億人分が流出した」と表現するのは間違いだ。

しかし、これほど幅広い業種で顧客情報が外部に持ち出されているという事実は、重く受け止める必要があるだろう。

個人情報保護法があるのに、なぜ情報流出が止まらないのか？

日本には「個人情報の保護に関する法律」、いわゆる個人情報保護法がある。

この法律があることは、多くの人が知っているはずだ。

企業側も個人情報を収集するときには、利用目的を説明し、プライバシーポリシーを提示している。

では、企業が収集した個人情報を守れず、外部に流出させてしまった場合はどうなるのだろうか。

実は、個人情報保護法は、個人情報の流出を一件も発生させてはいけないという結果を保証する法律ではない。

重要な条文として、次のものがある。

第23条：安全管理措置
企業は、個人データの漏えいなどを防ぐため、必要かつ適切な安全管理措置を講じなければならない。
第25条：委託先の監督
個人データを外部に委託する場合、委託先に対しても必要かつ適切な監督を行わなければならない。
第26条：漏えい等の報告・本人通知
一定の重大な漏えい等が起きた場合、個人情報保護委員会への報告と本人への通知が必要となる。

つまり、法律は企業に情報を適切に管理する義務を課している。

しかし、実際に情報が流出したからといって、それだけで直ちに法律違反が確定するわけではない。

必要かつ適切な安全管理措置が講じられていたか、委託先への監督が適切だったか、といった事情によって判断される。

ここに私は、大きな疑問を感じる。

大量の個人情報を預かっている企業が、何百万件もの情報を流出させても、法律上の責任が直ちに明らかになるわけではない。

もちろん、外部からの高度な攻撃を完全に防ぐことは不可能だ。

だからといって、セキュリティ対策の不備があった場合まで、単に「サイバー攻撃の被害者だから仕方ない」で済ませてよいのだろうか。

実は、情報流出そのものに自動的な高額罰金があるわけではない

個人情報保護法に違反した企業に対しては、個人情報保護委員会による調査、指導、勧告、命令などが行われる。

命令に違反すると、刑事罰の対象となり得る。

しかし、個人情報が100万件漏れたら罰金いくら、1,000万件ならいくら、という制度ではない。

これは意外に思う人も多いのではないだろうか。

企業が適切な安全管理を怠った場合には行政上の責任が問われ得るし、被害者に損害が発生すれば民事上の損害賠償責任が認められる可能性もある。

それでも、利用者からすれば、個人情報が流出した後に企業のお詫び文を読むだけで、実際にどのような責任が問われたのか分からないことも少なくない。

私は、法律を厳罰化すればすべて解決するとは思わない。

過度な罰則は、企業が事故の発見や公表をためらう原因にもなり得るからだ。

むしろ重要なのは、どのような不備があったのか、再発防止策が本当に実施されたのか、それを利用者が確認できる仕組みではないだろうか。

国も「基本的な対策が不十分」と指摘している

実際、2026年11月5日には、国家サイバー統括室が相次ぐ情報流出について注意喚起を発表した。

そこでは、基本的なセキュリティ対策が不十分だったと考えられる事案が複数確認されたとされている。

具体的には、次のような問題だ。

Webサイトやモバイルアプリの開発時のセキュリティ対策不足
Webシステムの設定不備
サポートが終了したソフトウェアの使用
既知の脆弱性が修正されていないソフトウェアの継続利用

これは、システム開発者として見過ごせない問題だ。

Webサイトの見た目だけが最新になっていても、バックエンドで古いフレームワークやライブラリが稼働し続けている可能性がある。

例えば、サポートの終了したフレームワークや、脆弱性が見つかっているにもかかわらず修正されていないライブラリなどだ。

私は、これをすべての被害企業に当てはめるつもりはない。各事件の侵入経路は異なり、原因がまだ分かっていない事案もある。

しかし、国が基本的な対策不足を複数確認している以上、単に攻撃者の技術が高度化しただけでは説明できない問題がある。

システムを作って終わりではなく、長期間にわたって安全に運用するための費用と人員を確保しているか。

そのことこそ、もっと問われるべきではないだろうか。

そもそも個人情報を盗んで、何ができるのか？

ここからが、私が特に考えたい問題だ。

企業から情報が流出したと報道されると、多くの人は不安を感じる。

しかし、個人情報といっても、その内容はさまざまだ。

メールアドレスだけが漏れた場合と、クレジットカード番号やパスワードまで盗まれた場合では、危険性がまったく異なる。

ここを区別しないまま、単に「1,000万人の個人情報が流出した」と報じるだけでは、実際の危険性を判断できない。

① メールアドレスだけが流出した場合

メールアドレスが知られただけで、相手が自分の銀行口座からお金を引き出せるわけではない。

通常、メールアドレスだけでは、Webサービスにログインすることもできない。

ただし、迷惑メールやフィッシング詐欺の標的にはなる。

例えば、ある企業の会員メールアドレスが大量に流出した場合、その企業を装ったメールが届く可能性がある。

しかも、攻撃者は、その人が実際にそのサービスを利用していると知っている。

「お客様の会員情報に問題が発生しました」

「不正アクセス対策のため、パスワードを変更してください」

こうしたメールが、本物のサービスの利用者に送られれば、無関係な相手に送るよりも信用されやすいだろう。

実際、アララの事件では、メール配信基盤を不正利用して、クレジットカード会社を装った不審メールが最大約713万通送信された。

つまり、メールアドレスの流出は、直接お金を盗めることを意味しないが、その後の詐欺の足掛かりになる。

② 氏名、住所、電話番号、生年月日が流出した場合

これはどうだろうか。

氏名や住所、電話番号は、日常生活の中で他人に伝えることも珍しくない。

企業の代表者であれば、公開されている情報もある。

こうした情報が盗まれたとしても、それだけで銀行口座からお金を引き出したり、他人になりすまして簡単に口座を開設したりできるわけではない。

金融機関や通信会社では、本人確認書類や追加の認証などが求められるからだ。

しかし、危険がないわけではない。

氏名、住所、生年月日、電話番号などを組み合わせると、本人を装った問い合わせや、電話による詐欺、本人確認が弱いサービスでのなりすましなどに利用される可能性がある。

また、盗まれた情報が別の流出データと突き合わされれば、その人の生活や利用サービスについて、より詳しい情報が得られる可能性もある。

一つひとつの情報だけでは大きな危険がなくても、組み合わせによって危険性が増す。

ここが個人情報流出の難しいところだ。

③ IDとパスワードが流出した場合

これは危険性が大きく変わる。

IDとパスワードがそろっていれば、不正ログインを試みることができる。

さらに問題となるのが、パスワードの使い回しだ。

例えば、ゲームサイトから盗まれたパスワードが、メールサービスやECサイトでも使用されていれば、ほかのサービスまで不正ログインされる可能性がある。

また、ハッシュ化されたパスワードも、必ずしも安全とはいえない。

適切なアルゴリズムやソルトなどで保護されていれば復元は困難になるが、保存方式やパスワードの強度によっては、元のパスワードを推測される危険が残る。

実際、2026年10月に公表されたskyticketの情報流出では、約413万件分のハッシュ化されたログインパスワードが含まれていた。

そして11月7日、オンライン麻雀「Maru-Jan」でも約185.6万人分のメールアドレスとパスワードの流出が発表された。

このような事案は、メールアドレスだけの流出とは明確に区別して考える必要がある。

④ クレジットカード情報が流出した場合

これは直接的な金銭被害につながる危険がある。

カード番号、有効期限、セキュリティコードなどの組み合わせによっては、第三者が不正な決済を試みることができる。

ただし、クレジットカード決済には本人認証などの追加対策があり、すべてのカード情報流出がそのまま不正利用につながるわけではない。

それでも、氏名やメールアドレスだけの流出と比較すれば、注意すべき危険は大きい。

2026年11月6日、ロート製薬は約279.8万人分の顧客情報の流出を公表した。

その中には、約9,715人分のクレジットカード番号と有効期限が含まれる通話音声も存在していた。

このような情報まで流出した場合には、カード会社との連携や、不正利用の確認など、より具体的な対応が必要になる。

⑤ 運転免許証や本人確認書類が流出した場合

これも危険性が高い。

本人確認書類の画像には、氏名、住所、生年月日、顔写真、書類番号などが含まれる。

それだけであらゆる本人確認を突破できるわけではないが、なりすましや偽造書類の作成に悪用される可能性がある。

また、顔写真や本人確認書類の情報は、パスワードのように簡単に変更できるものではない。

今回の情報流出では、Joshinで運転免許証画像やマイナンバーカード関連情報の流出の可能性が公表されている。

このような事件を、メールアドレスだけが漏れた事件と同じ重さで報じるべきではないと思う。

流出した情報による危険性の違い

流出情報	主な悪用リスク	それだけでできること
メールアドレス	迷惑メール、フィッシング	通常は直接ログイン不可
氏名・住所	なりすまし、詐欺の勧誘	金融取引には通常追加確認が必要
電話番号	SMS詐欺、電話によるなりすまし	それだけでSMS認証を突破できるわけではない
生年月日	他の情報との照合、弱い本人確認の突破	単独での悪用範囲は限定的
ID・パスワード	不正ログイン、アカウント乗っ取り	認証条件次第で直接悪用可能
クレジットカード情報	不正決済	追加認証の有無などによる
本人確認書類の画像	身元のなりすまし、書類悪用	サービス側の本人確認方式による
病歴・診療情報等	プライバシー侵害、差別や恐喝への悪用	金銭被害がなくても深刻な権利侵害になり得る

ここで言いたいのは、個人情報の流出を軽く考えるべきだということではない。

何が盗まれたのかによって、危険性は違う。だからこそ、流出件数だけでなく、情報の種類や具体的な被害まで説明するべきではないか、ということだ。

「二次被害は確認されていない」という発表をどう読むべきか

個人情報流出のニュースでは、企業が「現時点で二次被害は確認されていない」と説明することが多い。

この言葉は、嘘ではないかもしれない。

しかし、それは「今後も悪用されない」という意味ではない。

流出した情報がどこへ渡ったのか、誰が保有しているのか、その後どのような目的で使われるのか、企業側が完全に把握することは難しい。

一方で、漏えいした情報が実際に悪用された証拠がないなら、すべての利用者に深刻な被害が発生するかのように語るのも正確ではない。

重要なのは、次の三つを分けて考えることだ。

個人情報が外部に持ち出された事実
その情報を悪用できる技術的・制度的な可能性
実際に不正利用や金銭的被害が発生した事実

この三つは同じではない。

「流出」と「被害」は、関連していても同義ではないのだ。

個人情報が漏れた人は、企業に何を請求できるのか？

もう一つ気になるのが、被害者に対する補償である。

例えば、自分の氏名、住所、電話番号、生年月日が企業から流出したとして、その企業に何らかの補償を求めることはできるのだろうか。

結論として、損害賠償を請求できる可能性はある。

しかし、情報が流出したというだけで、自動的に一定額の補償金が支払われるわけではない。

損害賠償には、プライバシー侵害の程度や損害の有無、企業側の責任などが関係する。

過去のベネッセの個人情報流出事件では、裁判でプライバシー侵害が認められ、差戻し後の控訴審で一人当たり1,000円の慰謝料が認められた例がある。

また、別の裁判例では、数千円から数万円の慰謝料が認められたものもある。

これは、金銭的な二次被害が発生していなくても、情報が本人の意思に反して外部へ流出したこと自体が、法的に保護されるプライバシーを侵害し得ることを示している。

一方で、補償額は個別事情によって大きく異なる。

企業が自主的に見舞金を支払う場合もあるが、すべての企業が同じ対応をするわけではない。

私は、ここにも考えるべき問題があると思う。

何百万人もの個人情報が流出した場合、個々の利用者が裁判で責任を追及することは現実的なのだろうか。

個人で訴訟を起こすための時間や費用を考えれば、諦める人がほとんどではないだろうか。

本当に利用者の権利を守るというのであれば、事故発生後の説明責任や被害回復の仕組みについても、議論を深めるべきだと思う。

本当に必要なのは、個人情報を集めすぎないことではないか

私がシステム開発の観点から特に重要だと考えるのは、そもそも企業がどれほどの個人情報を収集し、どこに保存しているのかという問題だ。

例えば、単にメールマガジンを配信するだけなら、必ずしも氏名、住所、生年月日、電話番号まで必要とは限らない。

メールアドレスだけで済むのであれば、それ以外の情報を外部サービスへ渡さない設計も可能だ。

企業が大量の個人情報を保有していれば、それだけ流出したときの影響も大きくなる。

さらに、そのデータを複数の外部サービスに複製していれば、攻撃される可能性のある場所も増える。

今回のアララの事案は、その問題を浮き彫りにした。

一つのメール配信サービスへの攻撃が、多数の企業の顧客情報へと波及したのである。

クラウドサービスやSaaSを利用すること自体が悪いわけではない。

むしろ、それらを活用することで、企業は短期間に高度なサービスを開発できる。

ただし、外部サービスを利用するなら、委託先の安全管理だけでなく、委託する情報を必要最小限にすることが重要だ。

盗まれた情報を取り戻すことは難しい。しかし、最初から保存していない情報は盗まれない。

これは、セキュリティ設計において非常に重要な考え方ではないだろうか。

最後に――個人情報保護法は誰のためにあるのか

個人情報保護法には、企業に個人情報を適切に管理させるための義務が定められている。

その意味で、法律が存在することには大きな意義がある。

しかし、これほど多くの情報流出が起きている現実を見れば、法律があるだけでは情報を守れないことも明らかだ。

だからこそ、私は次の点を改めて問い直したい。

企業が本当に必要かつ適切なセキュリティ対策を行っていたのか。

流出した情報は、具体的にどのような犯罪に利用できるのか。

金銭的な二次被害が発生していなくても、利用者の権利はどこまで守られるのか。

そして、企業は何百万件もの情報を保有する必要があるのか。

これらの問題を議論することなく、単に「情報流出しました」「二次被害は確認されていません」「再発防止に努めます」という発表だけで終わってしまうのであれば、同じような事件が繰り返されるのではないだろうか。

私は、個人情報流出のニュースを過度に恐れる必要はないと思う。

しかし、正しく恐れる必要はある。

メールアドレスだけが漏れたのか、パスワードが漏れたのか、それとも本人確認書類や決済情報まで流出したのか。

重要なのは、その違いを正しく理解することだ。

そして、企業側には、流出件数の大きさだけでなく、何が漏れ、なぜ漏れ、それによって何が起き得るのかを、利用者に分かる形で説明してほしい。

個人情報保護とは、企業が法律に従っていることを示すためのものではなく、利用者の権利と生活を守るためのものであるはずだ。

その原点を、今こそ見直す必要があると感じている。

参考資料

法律・公的機関

主な企業発表・事故記録

本記事は2026年11月8日時点の公表資料・報道資料等に基づく。件数や調査状況は今後変更される可能性がある。掲載一覧は主要事案を対象としたもので、期間内の全事業者・全事故を網羅するものではない。