[ITmedia エンタープライズ] おわびメール1通で、後は自己責任？ 個人情報漏えい時代に欠けた「3つの仕組み」

ある日おわびメールが届き、それから身に覚えのないSMSが増えた。筆者も漏えい被害の当事者になった。タイムズカーの約662万件をはじめ流出が相次ぐ今も、後始末は個人任せだ。登録は事実上の強制といえるのに、なぜ救済の仕組みは育たないのか。

» 2026年11月13日 07時00分 公開

この記事は会員限定です。会員登録すると全てご覧いただけます。

　関わりのあった企業から、おわびメールが届いた。筆者の氏名、メールアドレス、電話番号が漏えいしたという。しばらくして、明らかに詐欺と思えるSMSが複数件届くようになった。情報漏えいが原因だと筆者が証明する方法はないし、以前別件で情報が漏えいしていたのかもしれない。ただ、教えた覚えのない相手が筆者の番号を知っているという事実は変わらない。

　こうした経験は、個人情報漏えいの発表が相次いだ2026年秋より前からある。ただ、とにかく最近は数が多過ぎる。カーシェアリングサービス「タイムズカー」では約662万件のアカウント情報が漏えいし、運転免許証など本人確認書類の画像も約146万件分に外部送信の痕跡が確認された。パーク24は、画像は暗号化して保管していたと説明している。集団訴訟の専用サイトには10万人を超える参加希望が集まっている（2026年10月26日時点）。政府も2026年11月6日に「サイバーセキュリティ緊急対策パッケージ」（注1）を決定した。

（注1）「サイバーセキュリティ緊急対策パッケージ」について（サイバーセキュリティに関する関係閣僚会議）

　ただ、政府が個人に呼び掛ける対策は、強固なパスワードや多要素認証といった自衛策が中心だ。情報漏えいを前提に、制度の側を変える道はないのか。そのヒントは2026年11月4日、チームみらいが開催した「AI時代のサイバーセキュリティを考える勉強会」にあった。登壇した3人の専門家が口をそろえたのは、日本にまだない「仕組み」の話だった。その中には、漏えいさせた企業の側に過失がないことの証明を求める、立証責任の転換まで含まれる。

自衛頼みを脱する道はあるのか

　勉強会はチームみらい党首の安野貴博氏（参議院議員）がモデレーターを務め、超党派の国会議員が参加した。登壇したのは、企業へのペネトレーションテストなどを手掛けるトライコーダの上野宣氏（代表取締役）、半導体やサイバーセキュリティを扱うマクニカの瀬治山豊氏（セキュリティ研究センター センター長補佐）、タイムズカー集団訴訟の代理人を務める牧野法律事務所の牧野裕貴氏（代表弁護士）の3人だ。

左から、安野貴博氏、牧野裕貴氏、瀬治山豊氏、上野宣氏（筆者撮影）

個人の努力はとうに限界を超えている

　攻撃の量と質がAIで変わったという現状認識が前提として共有された。セキュリティ組織の国際団体FIRSTが2026年6月15日に公開した「The 2026 Vulnerability Forecast Update: Navigating the AI Epoch」（注2）は、AIによる脆弱（ぜいじゃく）性探索の普及を背景に、2026年のCVE登録件数予測を約6万6000件に引き上げた。過去最多だった2025年の約4万8000件（1日当たり約130件）を上回る見通しだ。

　上野氏は、攻撃の間口が広がった理由をこう語った。

　「今まで日本は日本語という言語の壁に守られていて、怪しい日本語だと見抜くことができた。しかし今はAIに指示すれば、金融機関が出すような緊急性を感じさせる自然な文面を作れてしまう。海外からの攻撃のハードルが極めて下がった」（上野氏）

　漏れた後の脅威も様変わりしている。瀬治山氏は、漏えいした宿泊履歴などの具体的な情報を盛り込んだフィッシングメールが既に観測されていると指摘した。住所や電話番号でパスワードをリセットできる機能が悪用されれば、本人確認の基盤そのものが崩れかねないとみる。牧野氏のもとには、「流出した運転免許証の情報でローンを申し込まれた」といったなりすまし被害の相談も寄せられているという。別々の事案で漏れたデータも、AIで突き合わせればなりすましの材料として使えてしまう。情報が漏れてから時間がたてば問題がなくなるわけではなく、悪用の手口はむしろ増えていく。

漏えいしても悪用されない社会にするには

　勉強会で示された対策は、次の3つに整理できる。

1. データ収集の最小化：　企業が個人情報を「取れるだけ取る」発想をやめ、必要最小限しか持たない。個人情報保護法22条が努力義務にとどめる不要データの消去について、義務化や明確なガイドラインで実効性を持たせる
2. 被害者救済の制度化：　参加を望まない人が自ら離脱しない限り被害者全体が対象となるオプトアウト型の集団訴訟や、過失がないことの立証を企業側に求める立証責任の転換、課徴金対象の拡大で「対策を怠る方が経済的に損」な構造を作る
3. 本人確認の刷新：　漏えいした住所や氏名、電話番号を本人確認の材料に使わない方式へ移行する。ICチップ認証など、番号を知っていることや画像を持っていることに頼らない確認手段

　1つ目と3つ目は、被害を「起こさない」ことではなく「起きても致命傷にしない」ことを狙った提言だ。持っていない情報は漏えいしない。漏えいした情報で本人になりすませないなら、漏えいの実害は小さくなる。2つ目は、その方向へ企業を向かわせる動機付けだ。牧野氏は、1人当たりの賠償額が少額にとどまる漏えい事案では、個別訴訟の費用や手間が賠償を上回り、被害者が泣き寝入りしやすい構造を指摘した。個人情報保護委員会の指導や勧告の件数が少なく、監督のプレッシャーが機能しにくい現状にも触れた。

　裏を返せば、現在はこの3つがどれも十分には機能していない。カーシェアも通販も、サービスを使うには氏名や住所、電話番号の登録が事実上避けられない。登録フォームは相変わらず住所や電話番号の入力を求めてくる。いざ漏えいすれば届くのはおわびのメール1通で、あとは「不審な連絡にご注意ください」と個人の注意に委ねられる。

　国家サイバー統括室の「サイバー対応特設サイト」（注3）には、個人向けだけでも首相官邸、警察庁、国民生活センター、情報処理推進機構（IPA）と複数の相談窓口が並ぶ。情報が1カ所にまとまったことは前進だろう。一方で、被害者がどこへ行けばよいか一目では分からない現状は、上野氏が勉強会で求めた「相談窓口の一本化」の必要性を図らずも示している。

サイバー対応特設サイトの個人向け窓口一覧（出典：内閣官房 国家サイバー統括室のWebサイト）

（注3）「サイバー対応特設サイト」について（内閣官房 国家サイバー統括室）

　筆者の携帯電話には今も時々、支払っているはずのガス料金を請求するSMSが来る。無視すればいい話ではある。だが、全員が「無視すれば済む」と我慢し続ける社会と、情報がもし漏れても悪用できない社会のどちらに向かうかは、個人の努力ではなく制度の設計で決まる。漏えいした事実は変わらなくても、漏えいしても困らない仕組みは、これから作れるはずだ。