情報漏洩の補償はもらえるのか｜お詫び金・ポイントの例と利用者が確かめること 2026

2026年10月30日

＠SOHO編集部

この記事のポイント

✓情報漏洩の補償は法律で一律に決まっておらず
✓お詫び金やポイントを出すかは会社ごとの判断です
✓公式発表で確かめたお見舞金の例と出ていない例

情報漏洩の補償について先に結論を言うと、次の3つです。1つ目、漏えいした会社が利用者にお金やポイントを払うことは、法律で一律に決まっているわけではなく、お詫びを出すかどうかは会社ごとの判断です。2つ目、補償の有無を待つより先に、パスワードの変更とカードの明細の確認で、実際の被害を防ぐほうが大切です。3つ目、カードの不正利用など実際に損害が出た場合は、カード会社や金融機関の補償の窓口に、決められた手順で申し出ます。

この記事では、2026年10月29日時点で各社の公式発表を開いて確かめた、お詫びの金額が出ている例と出ていない例を並べたうえで、利用者が確かめることと相談先を順番に説明します。

情報漏洩が起きたとき、会社に義務として決まっていること

まず、法律が会社に何を求めているのかを整理します。個人情報保護法とは、会社などが個人の情報をどう扱うべきかを定めた法律です。この法律の第26条は、個人の権利や利益を害するおそれが大きい漏えいが起きたとき、会社は個人情報保護委員会に報告し、本人に通知しなければならないと定めています。個人情報保護委員会は、この法律を運用する国の機関です。

どんな漏えいが報告と通知の対象になるかは、個人情報保護委員会の「漏えい等の対応とお役立ち資料」のページに、民間の会社の場合として4つの類型が並んでいます。

類型	例として挙げられているもの
要配慮個人情報が含まれる	病院の診療情報を記録したUSBメモリーの紛失、従業員の健康診断の結果の漏えい
不正に使われると財産の被害が出るおそれがある	通販サイトからのクレジットカード番号の漏えい、送金や決済ができるサービスのIDとパスワードの組み合わせの漏えい
不正の目的で行われたおそれがある	外部からの不正アクセスによる持ち出し、ランサムウェアで暗号化されて元に戻せなくなった、従業員の不正な持ち出し
本人の数が1,000人を超える	設定ミスでインターネット上から見られる状態になった、メールマガジンの宛先をBCCではなくCCに入れて一斉送信した

要配慮個人情報とは、病歴や犯罪の経歴など、知られると差別や偏見につながりやすい情報のことです。報告の期限は、発覚したら速やかに、不正な目的のおそれがある場合は発覚した日から60日以内と、同じページに書かれています。

ここで押さえておきたいのは、法律が会社に義務として求めているのは、報告と本人への通知、そして安全な管理であって、お見舞金やポイントの支払いではないという点です。「漏えいの連絡が来たのにお詫びが無い」という状況は、それだけでは法律の義務に反しているとは言えません。

お詫び金やポイントは、会社の判断で出るもの

お詫びのお金やポイントは、会社が自主的に決めて出すものです。金額、対象者、渡し方はすべて会社ごとに違い、同じ規模の漏えいでも、出す会社と出さない会社があります。

個人情報保護委員会には、個人が会社の個人情報の扱いについて相談できる「個人情報保護法相談ダイヤル」があります。ここでは、条件がそろえば委員会が会社と相談者の間に立って歩み寄りを促す「あっせん」という手続きも行っています。ただし、あっせんを行う条件の1つに、次のように書かれています。

相談者が求めている内容について、特定することができ、金銭賠償や謝罪を求めるものでないなど個人情報保護法に照らして不当ではないとき。出典: ppc.go.jp

つまり、個人情報保護委員会は、会社にお金を払わせたり謝罪させたりするための窓口ではありません。お金の補償を求めたい場合は、まず会社の窓口に申し出て、それでも話がまとまらなければ、弁護士への相談や裁判所の手続きといった民事の話になります。民事とは、個人と会社の間のお金や権利の争いのことで、国が代わりに取り立ててくれる仕組みではありません。

この違いを知っておくと、「どこに言えば補償してもらえるのか」と窓口を探し回る時間を減らせます。補償を受けられるかどうかは、会社が自主的に出すか、民事の手続きで決まるかのどちらかです。

公式発表で確かめたお詫びの例と、出ていない例

2026年10月29日時点で、各社の公式発表を開いて確かめた内容を並べます。報道ではなく、会社自身の発表の記載だけを載せています。

会社・サービス	公式発表に書かれたお詫び・補償	対象	発表の日付
タイムズカー	お見舞いとして3,000円相当の現金または金券。内容と渡し方は検討中で、決まりしだい対象者に案内	暗号化された運転免許証などの本人確認書類の画像に、アクセスと外部送信の痕跡が確認された人	2026年10月23日（第5報）
ローソン（ローソンID）	お詫びの品や補償の記載なし	ローソンIDなど215万5,345件	2026年10月8日（10月26日更新）
skyticket	お詫びの品や補償の記載なし。カードの明細の確認と、カード会社への相談を案内	2017年2月から2018年6月までにskyticketプレミアムの会費でカードを登録・利用した人	2026年10月16日（第2報）

タイムズカーの件は、タイムズカー公式サイトの第5報に、お見舞いの金額と対象の決め方が書かれています。画像は暗号化して保管していたため、外部に送られた痕跡があってもすぐに中身が見られる状態になったわけではないとしたうえで、将来に元に戻される可能性を完全には否定できないこと、利用者の負担を踏まえたことを理由に挙げています。事件の範囲や項目は、タイムズカーの情報漏洩にまとめています。

ローソンIDの件は、ローソンの公式発表に、対象の人数、項目、対象者への個別の案内、問い合わせ先が書かれていますが、お詫びの品やポイントの記載はありません。詳しくはローソンIDの情報漏洩で説明しています。

skyticketの件は、skyticketの第2報で、対象者にカードの10月以降の明細を確かめること、身に覚えのない請求があればカード裏面の窓口に連絡すること、カードの再発行に不安があれば同じ窓口に相談することを案内しています。こちらも、お詫びの金額の記載はありません。事件の経緯はskyticketの情報漏洩にまとめています。

表の3件だけを見ても分かるとおり、お詫びの金額が出るかどうかは件ごとに違います。また、出る場合でも漏えいの対象者の全員ではなく、特に影響の大きい情報が外に出た人に絞られることがあります。

発表の読み方：「漏えい」「漏えいのおそれ」「外部送信の痕跡」の違い

お詫びの対象が誰になるかは、発表の中で使われている言葉の違いに左右されることがあります。会社の発表には似た言葉が並ぶので、意味を分けて読めるようにしておくと、自分がどの立場にいるかが分かります。

発表に出てくる言葉	意味
漏えい	情報が外部に出たことが確認された状態
漏えいのおそれ、可能性	外部に出たかどうかは確定していないが、出た可能性を否定できない状態
アクセスの痕跡	攻撃者がその情報を見られる場所まで入った記録がある状態
外部送信の痕跡	その情報が外へ送り出された記録がある状態
暗号化	情報を、鍵が無いと読めない形に変えて保管していること
ハッシュ化	パスワードなどを、元に戻しにくい別の文字列に変えて保管していること

タイムズカーの第5報は、この区別をはっきり使い分けています。本人確認書類の画像について、アクセスされて外部送信の痕跡が確認されたものが1,464,800件、アクセスされたが外部送信の痕跡は確認されなかったものが891,602件と、件数を分けて載せています。そのうえで、お見舞いの対象を、外部送信の痕跡が確認された人に絞っています。

つまり、同じ事件の対象者でも、どの区分に入るかでお詫びの有無が分かれることがあります。会社から届いた個別の通知に、自分の情報がどの区分に入るかが書かれていれば、それを手がかりにします。書かれていなければ、専用の窓口に「自分の情報はどの区分に当たるか」を問い合わせると、話が具体的になります。

暗号化やハッシュ化されていたという記載は、すぐに中身が読まれたわけではないことを示しますが、将来も安全だと保証するものではありません。タイムズカーの発表も、外部に送られた暗号化データについて、将来に元に戻される可能性を完全には否定できないと書いています。暗号化されていたと書かれていても、パスワードの変更などの備えは済ませておきます。

お詫びの有無と内容を確かめる手順

自分が対象になった漏えいでお詫びが出るのかを知りたいときは、次の順で確かめます。

会社の公式サイトを、検索結果やメールのリンクからではなく、ブックマークや公式アプリから開く
「お知らせ」「ニュース」「重要なお知らせ」の欄で、漏えいについての発表を探す。第2報、第3報と続く場合があるので、いちばん新しいものまで読む
発表の中の「お客様への対応」「今後の対応」といった節に、お詫びや補償の記載があるかを見る
対象かどうかの確かめ方（個別の通知、専用の照会ページなど）が書かれていれば、その方法で確かめる
記載が無い、または分からない点があれば、発表に書かれた専用の問い合わせ窓口に、発表に書かれた番号やフォームから問い合わせる

タイムズカーの例のように、最初の発表では何も書かれておらず、調査が進んでからお詫びの方針が出ることもあります。最初の発表だけで判断せず、続報を確かめてください。

続報では、お詫びの方針だけでなく、漏れた項目そのものが直されることもあります。ローソンIDの件では、10月24日の追記で、詳しい調査の結果「メールアドレス」と「メルマガ取得情報」は漏えいしておらず、「生年月日」の漏えいの可能性があることが分かったとして、対象の情報を訂正しています。漏れた項目が変われば、利用者がすべき備えも変わるので、発表のページは日付の新しい追記まで読んでください。

逆に、発表の中に書かれていないお詫びの話を、メールや電話で持ちかけられた場合は疑ってかかります。会社が本当にお詫びを出すなら、公式サイトの発表にも書かれるのが自然だからです。

発表は何回かに分けて出る：お詫びの方針が出るまでの流れ

漏えいの発表は、1回で全部が分かるわけではありません。最初の発表で分かっているのは「不正アクセスがあった」「漏えいのおそれがある」程度で、範囲や件数、原因、利用者への対応は、調査が進むにつれて続報で出てきます。

タイムズカーの第5報には、それまでの経緯が表で載っています。

日付（2026年）	会社の対応	利用者への案内
9月25日	不正アクセスを検知、調査開始、個人情報保護委員会へ報告、第1報	問い合わせ窓口の開設
9月28日	警察への相談開始、第2報	会員への案内開始
9月29日	第3報	個人会員への案内開始
10月1日		退会した人への案内開始
10月16日	第4報
10月23日	外部の専門機関による調査が終了、第5報	お見舞いの方針を公表

この件では、お見舞いの方針が出たのは、検知から約1か月後、外部の専門機関による調査が終わった第5報でした。調査で対象の区分と件数が確定してから、お詫びの範囲が決まったことが読み取れます。

この流れを知っておくと、最初の発表にお詫びの記載が無くても、そこで結論を出さずに続報を待つという判断ができます。続報は同じ「お知らせ」の欄に追加されるか、最初の発表のページに追記される形が多いので、ブックマークしておくと確かめやすくなります。

お詫びを受け取るときに気をつけること

会社がお詫びを出すと決めた場合でも、受け取りの手続きの段階で偽の連絡にまぎれ込まれることがあります。受け取るときは、次の点を確かめてください。

受け取りの方法が、公式サイトの発表に書かれている方法と同じか
案内が、会社が公表した送信元や、会社のアプリの中のお知らせから届いているか
受け取りのために、カードの暗証番号やセキュリティコード、ネットバンキングのパスワードを求められていないか
「手数料を先に払えば受け取れる」といった、お金を払わせる話になっていないか

お詫びの金券や現金を送るために、会社が送り先の住所を確かめることはあり得ます。ただ、そうした確認も、公式の発表や会社のアプリから案内された手順で行うのが原則です。メールやSMSのリンクから住所やカード番号を入力させる形で届いたら、受け取りの手続きを始める前に、公式サイトの発表と見比べます。

対象のはずなのに案内が届かない場合は、登録のメールアドレスが古いままになっていないか、迷惑メールのフォルダに振り分けられていないかを確かめたうえで、専用の窓口に問い合わせてください。

補償を待つより先にすること

お詫びの有無はあとから分かることも多いので、漏えいの連絡を受けたら、先に被害を防ぐ行動を済ませます。漏れた項目によって、することが変わります。

漏れた項目	先にすること
パスワード（暗号化されたものを含む）	そのサービスのパスワードを変更する。同じパスワードを使っているほかのサービスもすべて変更する
クレジットカード番号	カードの明細を毎月確かめる。不安ならカード会社に再発行を相談する
メールアドレス、電話番号	その会社やお詫びを名乗るメール・SMSのリンクを押さない。公式アプリから確かめる
住所、氏名、生年月日	名前や住所を言い当てる電話や郵便に注意する。本人確認に使われる質問の答えを見直す
運転免許証などの画像	自分の名前で身に覚えのない申し込みが無いかに注意する。会社の案内に従う

パスワードの変更は、漏えいした会社のサービスだけでは足りません。同じメールアドレスとパスワードの組み合わせで、ほかのサービスにログインを試される手口があるためです。住所が漏れた場合の具体的な備えは、個人情報が流出して住所が漏れたときの対応で順番に説明しています。

カード番号が漏れた可能性がある場合、カード会社に再発行を頼むと番号が変わり、漏れた番号は使えなくなります。再発行の手数料の扱いはカード会社によって違うため、カード裏面の番号から問い合わせて確かめてください。

退会した人や家族の分も対象になることがある

「もう退会したから関係ない」と考えるのは早すぎます。会社が退会者の情報を一定期間保管している場合、退会した人も漏えいの対象になることがあります。

タイムズカーの第5報では、会員登録のときに提出された運転免許証などの画像を、会員期間中に加えて退会後も7年間保有していたと説明しています。案内の経緯の表にも、10月1日に「退会された方へのご案内開始」と書かれています。この件を受けて、同社は会員登録の確認が終わったら画像を保有しないルールに変え、保有していた画像は2026年10月末までに削除するとしています。

このように、退会した後の情報の扱いは会社ごとに違います。昔使っていたサービスで漏えいが報じられたら、退会していても発表を読み、対象に退会者が含まれるかを確かめてください。含まれる場合は、現役の会員と同じく、パスワードの使い回しの見直しや不審な連絡への注意が必要です。

家族の名前で登録したサービスや、子どもの習い事、家族カードなど、自分以外の名義の情報が対象になっている場合もあります。家族の分の通知が自分のメールアドレスに届くこともあるので、家族と共有しておくと見落としが減ります。退会した後に情報を消してもらう請求の方法は、次の節で説明します。

漏えいの後に、情報の利用停止や削除を求める

お詫びとは別に、漏えいを起こした会社に、自分の情報を使うのをやめてもらう、または消してもらうよう求めることもできます。個人情報保護法の第35条第5項は、本人を識別できる会社の保有するデータについて、第26条第1項の漏えいなどの事態が生じた場合に、利用の停止や消去を請求できると定めています。条文の該当部分は次のとおりです。

当該本人が識別される保有個人データに係る第二十六条第一項本文に規定する事態が生じた場合その他当該本人が識別される保有個人データの取扱いにより当該本人の権利又は正当な利益が害されるおそれがある場合には、当該保有個人データの利用停止等又は第三者への提供の停止を請求することができる。出典: laws.e-gov.go.jp

保有個人データとは、会社が自分の判断で中身を直したり消したりできる状態で持っている個人のデータのことです。請求を受けた会社は、理由があると分かれば、必要な限度で遅滞なく利用の停止などを行わなければならないとされています。ただし、多額の費用がかかるなど対応が難しい場合で、代わりの措置をとるときは例外が認められています。どこまで消してもらえるかは、法律で保存が求められている記録などとの関係で変わるので、会社の窓口に確かめてください。

請求の方法は、会社のプライバシーポリシー（個人情報の扱いを説明したページ）に、「開示等の請求」「利用停止等の請求」の窓口として書かれていることが多いです。請求しても手続きの方法を教えてもらえない、返事が来ないといった場合は、個人情報保護法相談ダイヤルに相談できます。相談ダイヤルのページには、あっせんの事例として、保有個人データの利用停止の請求や、開示の請求の手続きの案内が挙げられています。

実際に損害が出たときの補償の窓口

漏えいの後に、カードの不正利用や預金の不正送金など、実際にお金の損害が出た場合は、漏えいした会社のお詫びとは別の、決済の仕組みの側の補償の話になります。

警察庁の「フィッシング対策」のページは、不正送金の被害は金融機関が、クレジットカードの不正利用の被害はクレジットカード会社が、それぞれ補償の制度や相談窓口を設けている場合があるとして、被害に遭ったサービスを提供している会社に相談するよう案内しています。不正送金については、全国銀行協会の「金融犯罪に遭った場合のご相談・連絡先」のページも紹介されています。

損害の種類	相談する先	確かめておくこと
クレジットカードの不正利用	カード会社（カード裏面の番号）	会員規約の補償の条件と、届け出の期限
預金の不正送金	口座のある金融機関	被害に気づいた日時、取引の明細
スマホ決済の不正利用	決済サービスの公式アプリの問い合わせ	サービスごとの補償の条件
金銭の被害全般	最寄りの警察署、都道府県警察のサイバー犯罪相談窓口	被害の経緯の記録

カード会社や決済サービスの補償には、届け出の期限や、本人に重い落ち度がある場合は対象外になるといった条件が、会員規約で決められている場合があります。具体的な条件は会社ごとに違うので、自分のカードや決済サービスの規約を確かめてください。明細を毎月見ていれば、身に覚えのない請求に早く気づけるので、期限の内に届け出やすくなります。

補償やお詫びを名乗る偽の連絡に注意する

漏えいが報道されると、その会社を名乗って「お詫びとしてポイントを付与します」「補償金の受け取り手続きをしてください」といったメールやSMSが送られることがあります。本物の発表で漏えいを知った人ほど、「お詫びが来た」と受け取って押してしまいやすい口実です。

カインドオルの情報漏洩でも、お詫びのポイントや返金の手続きを口実にした偽の連絡に注意するよう説明しています。偽の連絡には、次のような特徴があります。

お詫びの受け取りのために、カード番号、口座番号、暗証番号の入力を求める
受け取りの期限が短く、急いで手続きさせようとする
公式サイトの発表には書かれていないお詫びの内容になっている
「返金のため」とATMに行かせ、操作を指示する電話がかかってくる

お金を受け取るために、こちらから暗証番号を伝える必要はありません。お詫びの話が届いたら、メールや電話の中の連絡先は使わずに、公式サイトの発表と、発表に書かれた問い合わせ窓口で本当かどうかを確かめます。押してしまった、入力してしまった場合は、すぐにパスワードを変え、カード会社や金融機関に連絡してください。

会社の窓口に問い合わせるときの聞き方

専用の窓口には、漏えいの直後ほど問い合わせが集中します。短い時間で必要な答えを得るために、聞くことを先に書き出してからかけると、聞き漏らしが減ります。問い合わせの前に、会社から届いた通知と、公式発表の最新の版を手元に用意します。

聞いておきたいことは次のとおりです。

自分の情報は対象に含まれているか（登録のメールアドレスや会員番号で確かめてもらう）
自分の情報のうち、どの項目が対象か
漏えいが確定しているのか、おそれの段階か
お詫びや補償の予定はあるか。あれば、対象の条件と案内の時期、案内が届く方法
会社から今後連絡が来るとしたら、どの送信元やどの番号から来るか
利用の停止や削除を求める場合の手続き

5つ目は特に役に立ちます。会社が正式な案内に使う送信元を聞いておけば、それ以外から届いたお詫びの連絡を疑う手がかりになります。ローソンの発表のように、対象者への案内に使うメールアドレスを公式発表に載せる会社もあります。

問い合わせた日時、担当者の名前、聞いた内容は、メモに残しておきます。あとで続報と食い違いがあったときや、別の窓口に相談するときに、やり取りの経緯を説明しやすくなります。電話がつながりにくい場合は、問い合わせのフォームがあればそちらを使い、送った内容の控えを保存しておきます。

納得できないときの相談先

会社の対応に納得できない、問い合わせても答えがない、という場合の相談先を、2026年10月29日時点で公式ページを確かめた範囲で並べます。

相談先	受け付けている内容	連絡の方法
漏えいした会社の専用窓口	対象かどうか、漏れた項目、お詫びの有無	公式発表に書かれた番号やフォーム
個人情報保護法相談ダイヤル	会社の個人情報の扱いへの苦情、法律についての質問	03-6457-9849（9時30分から17時30分、土日祝日と年末年始を除く）
消費者ホットライン	契約や請求のトラブル全般	局番なしの188
警察相談専用電話	緊急ではない警察への相談	#9110
法テラス	法的なトラブルの相談先の案内	公式サイトから

個人情報保護法相談ダイヤルは、ガイドラインやQ&Aに記載がない相談や、適法か違法かの判断を求める相談には応じていないと書かれています。お金の補償についての交渉を代わりに行うものではないので、何を相談したいかを先に整理してからかけると話が早く進みます。

消費者ホットラインの188は、近くの消費生活センターなどにつながる番号で、消費者庁の「消費者ホットライン」のページで案内されています。警察相談専用電話の#9110は、かけた場所を受け持つ都道府県警察の総合窓口につながる番号です。警察庁の相談窓口の一覧（PDF）には「情報流出による被害の相談は#9110番へ」とあり、ダイヤル回線や一部のIP電話から使えない場合の各警察本部の番号も載っています。

慰謝料を請求したいと考えたとき

漏えいで不安や迷惑を受けたことに対して、慰謝料を求めたいと考える人もいます。慰謝料とは、精神的な苦痛に対して支払われるお金のことです。

慰謝料が認められるかどうか、金額がいくらになるかは、漏れた情報の種類、漏えいの経緯、会社の対応、実際に受けた被害など、個別の事情で大きく変わります。同じ事件の対象者でも、人によって判断が分かれることもあります。会社が自主的に出したお詫びの金額が、裁判で認められる金額の目安になるわけでもありません。

請求を考えるときは、次の材料を手元にそろえておくと、相談がしやすくなります。

会社から届いた漏えいの通知（メールや郵便）
公式発表のページの保存（日付が分かる形で）
漏えいの後に届いた不審な電話、メール、郵便の記録
実際に出た金銭の被害の明細と、カード会社や金融機関とのやり取り
会社の窓口とのやり取りの記録

弁護士費用や手続きにかかる時間と、得られる見込みの金額を比べて判断することになるため、まずは法テラスや弁護士会の相談窓口で、自分の事情に当てはめた見通しを聞くのが現実的です。ここで書いた一般的な流れは、個別の事情で変わるので、具体的な判断は専門家に確かめてください。

自分の情報が漏れていないかを調べておく

ある会社から漏えいの連絡を受けたときは、過去にほかのサービスでも漏れていないかを合わせて調べておくと、パスワードを変えるべき範囲が分かります。メールアドレスで過去の漏えいを調べられるサービスの使い方は、Have I Been Pwnedの使い方で説明しています。

調べた結果、複数の漏えいに含まれていた場合は、パスワードを使い回していたサービスから順に変更し、ログインに2段階認証やパスキーを設定します。2段階認証とは、パスワードに加えてスマートフォンに届くコードなど別の確認を求める設定のことで、パスワードが漏れても他人がログインしにくくなります。パスキーは、パスワードの代わりに端末の顔認証や指紋認証でログインする方式で、偽サイトに入力して盗まれる被害を受けにくくなります。

漏えいはいつ、どの会社で起きるかを選べません。補償を当てにするより、漏れても困らない状態を前もって作っておくほうが、確実に自分を守れます。

在宅で働く人が備えておきたいこと

@SOHO編集部は2004年から在宅ワークとフリーランスの仲介を続けてきました。その中で見てきたのは、在宅で働く人ほど、仕事で使う複数のサービスに同じメールアドレスで登録していて、1つの漏えいが仕事のアカウント全体に広がりやすいということです。取引先の情報を預かる仕事では、自分のアカウントが乗っ取られると、相手にまで迷惑が及びます。仕事用と私用のメールアドレスを分ける、パスワードはサービスごとに変える、カードの明細は毎月見る、という3つを決めておくだけでも、漏えいの連絡を受けたときに慌てずに済みます。情報を守る側の仕事に関心がある人は、AI・マーケティング・セキュリティのお仕事も参考になります。

情報漏洩の補償は、法律で一律に決まっているものではなく、会社が自主的に出すか、民事の手続きで決まるかのどちらかです。お詫びの有無は公式発表の続報で確かめ、それより先に、パスワードの変更とカードの明細の確認で被害を防いでおくことが、利用者にできるいちばん確実な対応になります。