今さら聞けない情報漏えい対策｜相次ぐ流出から自分と会社を守る方法

結論：企業が漏らしたデータを、個人が止めることはできません。ただし、パスワードの使い回しをやめ、漏えいの連絡が来たあとの行動を決めておくだけで、被害は大きく減らせます。この記事では、個人と職場で今日からできる対策を整理します。

2026年9〜10月に、何が起きているのか

9月から10月にかけて、大規模な情報漏えいの発表が続いています。報道されている主な事案は次のとおりです。

発表時期	事案	規模・内容
9月11日	デジタル庁が運用する政府共通の業務基盤（GSS）への不正アクセス	約24万6000件の個人情報が漏えいした可能性（氏名・メールアドレス・電話番号・住所など）
9月30日	佐川急便の荷物問い合わせサービスへの不正アクセス	送り主・届け先の氏名、住所、電話番号などが流出した可能性
10月2日	第一ライフグループ・第一生命が使う従業員向け人事システムへの不正アクセス	現役・退職者を含む約12万人分の従業員情報が流出した可能性（顧客情報への被害は未確認と公表）
10月5日	焼肉きんぐ運営会社（物語コーポレーション）の公式アプリ	会員情報1078万8963件が流出

NHKの報道によると、セキュリティ会社は7月以降に被害が増えていることから、サイバー攻撃にAIが悪用されている可能性が高いとみています。

被害に遭っているのは、特別に守りが弱い会社だけではありません。官公庁も、大手企業も、日常で使うアプリも対象になっています。

「自分のデータは自分で守る」は正しいのか

漏えいが相次ぐなか、2026年10月6日の記者会見で、古川デジタル相が「国民のお一人お一人の対策が、被害の防止につながる」と述べ、「自分の情報は自分で守る」という意識を持つよう呼びかけました（デジタル庁の会見録）。具体的な対策として挙げたのは、パスワードの使い回しをやめること、多要素認証を使うこと、不審なメールやSMSに注意することの3点です。この発言には、SNSなどで「守る側の責任を果たすのが先だ」という批判が相次ぎました。デジタル庁自身も9月に不正アクセスを公表していたため、自然な反応でもあります。

この議論は、どちらか一方が正しいわけではありません。守る責任を、2つに分けると整理しやすくなります。

預かった側（企業・行政）の責任：システムを守り、漏らさないこと。漏えいしたときに、早く正確に知らせること
預けた側（私たち）にできること：漏えいが起きても、被害が広がらないようにしておくこと

預けたデータが外へ出る事故は、個人には止められません。だからこそ、私たちにできるのは「漏れる前提で、被害を小さくしておく」ことです。「自分で守る」は、事故を防ぐ意味ではなく、被害を最小にする備えと考えるのが現実的です。

個人でできる対策5つ

パスワードの使い回しをやめる

漏えいした情報の中にIDとパスワードが含まれると、攻撃者はそれを別のサービスで試します。使い回しをしていると、1つの漏えいから、メール・通販・SNSへと被害が連鎖します。

対策は単純です。

サービスごとに、別のパスワードにする（覚えきれないなら、パスワードマネージャーを使う）
長く、推測されにくいものにする
漏えいの連絡が来たサービスは、すぐにパスワードを変える。同じパスワードを使っている他のサービスも、同時に変える

多要素認証とパスキーを有効にする

パスワードが盗まれても、もう1つの確認が必要なら、不正ログインを止められます。メール・通販・金融・SNSから、順に設定してください。

仕組みと種類の違いは、多要素認証（MFA）の解説で整理しています。使えるサービスでは、パスキー（端末の指紋・顔認証で、パスワードなしにログインする方式）への切り替えも、有効な選択肢です。

預けるデータを減らす

流出する情報は、預けていなければ流出しません。

使っていないアプリ・会員登録は、退会する
登録するときは、必須でない項目（生年月日・住所など）を入れない
「ポイントがつくから」という理由だけで、会員登録をしない

漏えいの連絡が来たあとの行動を決めておく

漏えいの被害を大きくするのは、連絡が来たあとの「放置」です。連絡を受けたら、次の順に動きます。

連絡が、公式の発表や公式アプリ・サイトで確認できるか調べる（メール内のリンクは開かない）
該当のサービスのパスワードを変更する。同じパスワードの他のサービスも変更する
クレジットカード情報が含まれるなら、カード会社に連絡する。明細も確認する
住所・電話番号・メールアドレスが含まれるなら、この後のフィッシング（偽のメール・SMS）に警戒する

自分のメールアドレスが過去の漏えいに含まれていないかは、「Have I Been Pwned」などの確認サービスで調べられます。

漏えい後のフィッシングに備える

名前・住所・電話番号が漏れると、本物らしい偽のメールやSMSが届きやすくなります。「荷物の不在通知」「会員情報の更新」「アカウントの停止」といった、焦らせる文面が典型です。

メール・SMSのリンクからは、ログインしない。公式アプリや、自分でブックマークしたサイトから開く
急がせる文面ほど、一度止まる
少しでも不審なら、公式の窓口に、別経路で確認する

職場でできる対策：生成AI時代の落とし穴

職場の対策で、いま見落とされやすいのが生成AIです。デル・テクノロジーズが2026年9月29日に発表した調査（中堅中小企業・大企業の815人が回答）では、次の結果が出ています。

生成AIを何らかの形で利用している組織は95.7%
過去1年間に生成AI関連のセキュリティ上の問題を経験したのは78.5%
経験した問題の内訳は、情報漏えいが20.2%で最多。不正アクセスが16.9%、マルウェア感染が14.1%
生成AI利用で最も懸念する事項は「機密情報の漏えい」で25.8%

この調査は、PC・業務端末の導入・運用・管理やセキュリティ対策に関わる人が回答しており、一般の従業員全体の実態とは異なる点に注意が必要です。それでも、ほとんどの組織で生成AIが使われ、同時に不安も大きいという方向性は読み取れます。

職場では、次の4つから始めてください。

入れてよい情報の線引きを決める：顧客の個人情報、未公開の財務・人事情報、パスワード・APIキーは、生成AIに入れない。決めていない職場は、まず上司や情報システム部門に確認する
会社が認めたAIを使う：個人アカウントの無料版に、業務の情報を入れない。履歴を学習に使う設定かどうかも、確認する
PC・OS・アプリを更新する：調査では、攻撃の被害拡大の起点として最も注意すべきものに「PC・モバイル端末の侵害」（24.3%）が挙がっています。更新を後回しにしない
起きたら、すぐ報告する：誤送信・紛失・怪しいリンクを開いたときは、隠さず、すぐ報告する。報告が早いほど、被害は小さく済みます

同じ調査で、今後1年間の優先投資は「従業員教育・利用ルール整備」が17.5%、「端末保護・可視化」は7.1%でした。教育とルールが、対策の入口として重視されていることが分かります。

今さら聞けない基本を、体系的に学ぶには

ここまでの対策は、「脅威」「管理」「技術」「法律」の知識が、つながって初めて腑に落ちます。

なぜパスワードの使い回しが危ないのか（脅威）
なぜ会社に報告のルールがあるのか（管理）
なぜ多要素認証が効くのか（技術）
漏えいしたとき、会社に何が求められるのか（法律）

この全体像は、国家試験の情報セキュリティマネジメント試験（SG）のシラバスが、体系的に整理しています。資格を取る予定がなくても、「何を知っていれば、基本を押さえたと言えるか」の地図として使えます。

生成AIに質問しながら学ぶなら、次のように聞くと、理解が進みます。

私は会社員で、情報セキュリティの基本を体系的に理解したいです。
まず私が知りたいのは「なぜ」の部分です。

**パスワードの使い回し**が、なぜ被害を連鎖させるのかを、
攻撃者の視点で、順を追って説明してください。
そのあと、私が自分の言葉で説明するので、論理の穴を指摘してください。

さらに学ぶなら、次の記事が入口になります。

まとめ

企業が漏らしたデータは、個人には止められない。だから「漏れる前提で、被害を小さくする」備えが現実的な「自分で守る」
個人は、パスワードの使い回しをやめ、多要素認証を有効にし、預けるデータを減らす
漏えいの連絡が来たら、パスワード変更・カード会社への連絡・フィッシングへの警戒の順に動く
職場では、生成AIに入れてよい情報の線引き、会社が認めたAIの利用、端末の更新、すぐの報告を徹底する
基本を体系的に押さえたいなら、情報セキュリティマネジメント試験のシラバスが、そのまま学習の地図になる

参考・出典

ビジネス＋IT「『情報漏えい』最多…約8割がAI関連インシデント経験、調査で見えたセキュリティ実態」（2026年9月30日。デル・テクノロジーズ「中堅中小企業・大企業におけるエンドポイントセキュリティ実態調査」）
NHK「個人情報流出なぜ相次ぐ？ “異様な状況” AI悪用可能性の指摘も」（2026年10月6日）
デジタル庁「古川大臣記者会見（令和8年10月6日）」
ITmedia NEWS「デジタル庁に不正アクセス、個人情報24.6万件漏えいか」（2026年9月11日）
各社の公表（佐川急便・第一ライフグループ・物語コーポレーション）の報道