三菱自動車の販売会社の情報漏洩の可能性｜東日本・西日本三菱自動車販売のメールへの不正ログイン対象と確かめること 2026

2026年10月31日

＠SOHO編集部

この記事のポイント

✓三菱自動車の情報漏洩の可能性について
✓東日本三菱自動車販売と西日本三菱自動車販売が2026年10月30日に発表した内容を公式の記載どおりに整理
✓24,480件の対象と項目

三菱自動車の情報漏洩として話題になっているのは、三菱自動車工業そのものではなく、販売会社2社の件です。2026年10月30日、東日本三菱自動車販売は社員のメールアカウントへの不正ログインで、2024年11月から2026年9月に取引のあった客の氏名や車両登録番号など24,480件が「漏洩した可能性がある」と発表し、西日本三菱自動車販売も同じ日に、メールに記載の氏名・住所・車両などの情報が「外部に流出した可能性」があると発表しました。東日本三菱自動車販売は、住所・電話番号・金融機関口座・クレジットカード情報は含まれず、外部へ持ち出された痕跡も現時点で確認されていないとしています。三菱自動車工業も、決済情報の漏えいは現時点で確認されていないと書いています。該当する時期に車を買った人や整備に出した人がまずすることは、販売会社を名乗るメール・SMS・電話・郵便物を、公式サイトに載っている番号へ自分からかけ直して確かめることです。

この記事では、三菱自動車のお知らせと、販売会社2社の発表を開き直し、2026年10月30日時点の記載だけを整理しました。報道の件数や推測は使っていません。

2026年10月30日時点で分かっていることの全体像

最初に、誰が何を発表したのかを分けておきます。検索では「三菱自動車」の名前で出てきますが、発表の主体は3つあります。

1つ目は三菱自動車工業です。2026年10月30日に「当社販売会社における個人情報漏えいの可能性について」というお知らせを出し、販売会社で社員が使うメールアカウントへの不正アクセスが確認され、一部の客と取引先の個人情報が漏えいした可能性があると説明しました。このお知らせは、各事案の詳細は各販売会社の発表を見てほしいと案内する、いわば入口のページです。

2つ目は東日本三菱自動車販売です。10月13日に第1報、10月30日に第2報を出しています。件数（24,480件）と項目が具体的に書かれているのはこの会社だけです。

3つ目は西日本三菱自動車販売です。10月30日にお知らせを出しました。件数の記載はありません。

会社	発表日	公式の表現	件数
三菱自動車工業	2026年10月30日	販売会社で個人情報が漏えいした可能性	記載なし（各販売会社の発表を参照と案内）
東日本三菱自動車販売	2026年10月13日（第1報）、10月30日（第2報）	情報が漏洩した可能性	24,480件
西日本三菱自動車販売	2026年10月30日	外部に情報流出の可能性	記載なし

大事なのは、三菱自動車工業のお知らせが「三菱車に乗っている人全員」を対象にしているわけではない点です。お知らせは販売会社の事案として書かれており、メーカーが持つ顧客情報の全体が対象になったとは書かれていません。東日本・西日本以外の販売会社について、10月30日時点で同じ趣旨の発表は三菱自動車工業のお知らせの表に載っていません。三菱自動車工業は、新たに公表が必要な事案が確認された場合は同じページで知らせるとしているので、続報はそのページで確かめるのが確実です。

三菱自動車工業のお知らせは、各販売会社の発表をまとめて次のように書いています。

各販売会社においては、メールアドレスや氏名などの情報の漏えい、過去のメール内容の閲覧、一部事案における、なりすましメールの送信も確認されておりますが、現時点、クレジットカード情報などの決済情報の漏えいは確認されておりません。出典: 三菱自動車工業「当社販売会社における個人情報漏えいの可能性について」

公表の経緯：10月9日の不正ログインから10月30日の第2報まで

東日本三菱自動車販売の件は、発表が2回に分かれています。第1報の時点では「なりすましメールが送られた」ことが中心で、客の名簿が見つかったのは第2報です。順に並べると次のとおりです。

日付	発表した会社	分かったこと
2026年10月9日	東日本三菱自動車販売（第2報のFAQで説明）	社員の Microsoft 365 のアカウントに不正ログインが発生
2026年10月13日	東日本三菱自動車販売（第1報）	なりすましメール825件の送信。送信先のメールアドレスや氏名が漏えいし、過去のメール内容が閲覧可能な状況となった可能性。個人情報保護委員会に報告
2026年10月30日	東日本三菱自動車販売（第2報）	不正にログインされたとみられるアカウント内に、客の個人情報を含むリストが保存されていたと判明。24,480件が漏洩した可能性。外部へ持ち出された痕跡は確認されていない
2026年10月30日	西日本三菱自動車販売	社員のメールアカウントへの不正アクセスが判明。メールに記載の氏名、住所、車両などの情報が外部に流出した可能性
2026年10月30日	三菱自動車工業	販売会社の事案をまとめたお知らせを公表

第1報のページは、東日本三菱自動車販売のサイトに「当社社員のメールアカウントへの不正アクセスによるなりすましメール送信に関するお知らせとお詫び」として残っています。第1報の段階で同社は、送信先に個別に連絡してメールの削除を頼んだこと、侵害を受けた範囲や漏洩した個人情報の件数を調べていることを書いていました。第2報はその調べの結果として出たものです。

第2報のFAQは、第1報から第2報までの間に何があったかを次のように説明しています。

2026年10月9日に不正ログインが発生いたしました。個人情報保護委員会へ報告したうえで、10月13日に当社ホームページにて公表いたしました。その後の調査でリストの存在が発見され、個人情報に該当するお客様情報を精査した結果、今回の公表に至りました。出典: 東日本三菱自動車販売「当社社員のメールアカウントへの不正アクセスに関するお知らせとお詫び（第2報）」

西日本三菱自動車販売の発表には、不正ログインがいつ起きたのか、いつ気づいたのかの日付は書かれていません。同社は、今後公表すべき事項が判明した場合は自社のサイトで速やかに知らせるとしています。2026年10月30日時点で、両社のお知らせの一覧に第3報や訂正は出ていません。

漏洩した可能性がある情報と、含まれないと明記された情報

2社で書き方がかなり違います。東日本は項目を細かく挙げ、含まれないものも明記しています。西日本は「メールに記載の」情報という書き方で、どの項目がどれだけかは書いていません。それぞれを公式の言葉どおりに分けます。

東日本三菱自動車販売（24,480件）

区分	内容
対象の客	2024年11月から2026年9月の間に取引（車両・用品購入、修理・点検整備など）のある客
漏洩した可能性がある情報	氏名、車両登録番号（ナンバープレート番号）、営業店舗名、営業担当者氏名、車両購入時の諸費用金額や修理代金に関する情報等
含まれないと明記された情報	住所、電話番号、金融機関口座、クレジットカード情報
件数	24,480件
持ち出しの有無	現時点で外部へ持ち出された痕跡は確認されていない（調査中）

ここでいう車両登録番号とは、ナンバープレートに書かれている番号のことです。諸費用金額とは、車を買うときに車両の本体価格とは別にかかる、登録の手続きや保険、税などの費用を指すのが一般的です。つまり東日本の名簿には、誰がどの店でどの担当者から車を買い、いくら払ったか、どんな修理にいくらかかったか、という取引の中身に近い情報が並んでいたことになります。住所と電話番号は含まれていないとされているので、この名簿だけで本人に直接連絡を取ることはできませんが、ほかの手段で連絡先を知った人が、本物の担当者を装うための材料にはなり得ます。

第1報で書かれていたなりすましメールの件では、これとは別に「なりすましメールの送信先のメールアドレスや氏名」が漏えいしたとされています。送信先は825件です。つまり東日本の件には、名簿の24,480件と、なりすましメールの送信先という2つの層があります。

西日本三菱自動車販売（件数の記載なし）

区分	内容
対象	不正にログインされたとみられる社員のメールに記載されていた客
外部に流出した可能性がある情報	メールに記載の氏名、住所、車両などの情報
含まれないと明記された情報	記載なし
件数	記載なし

西日本の発表は「住所」を挙げている点が東日本と違います。東日本は住所を「含まれない」としていますが、西日本はメールに書かれていた住所が流出した可能性があるとしています。2社を一緒にして「住所は含まれない」と受け取らないよう注意が必要です。

なお、クレジットカード情報などの決済情報の漏えいは、三菱自動車工業のお知らせで「現時点、確認されておりません」とされています。カード会社に連絡してカードを止める必要があるかは、この発表だけでは判断できません。この発表から読める範囲では、カードの明細で身に覚えのない請求がないかを普段どおり確かめることが中心になります。

原因：社員の Microsoft 365 のメールアカウントへの不正ログイン

2社とも、原因は社員が業務で使う Microsoft 365 のアカウントへの第三者の不正ログインだと発表しています。Microsoft 365 とは、Outlook のメールや Word、Excel、Teams などを会社で使うための Microsoft のサービスのことです。会社のメールの箱（メールボックス）が丸ごとクラウドの上にあるので、IDとパスワードが知られると、外からでも過去のメールを読めてしまいます。

東日本の第2報のFAQは、何が起きたかを次のように書いています。

当社社員が業務で使用していたMicrosoft 365のアカウントに第三者が不正にログインし、なりすましメール825件が送信されました。その後の調査で、同アカウント内にお客様の個人情報を含むリストが保存されていたことが判明いたしました。出典: 東日本三菱自動車販売「当社社員のメールアカウントへの不正アクセスに関するお知らせとお詫び（第2報）」

侵入経路について、東日本は「侵入経路を含め、現在、外部の調査機関の協力を得て調査を進めております」としています。どうやってIDとパスワードが知られたのか（偽のログイン画面に入力させられたのか、別の経路なのか）は、2026年10月30日時点で発表されていません。調査中と発表されている、というのが正確な書き方です。

西日本も同じく、業務ソフト「マイクロソフト365」のアカウントがサイバー攻撃を受け、第三者による不正なアクセスがあったと書いています。攻撃者によって過去のメール内容が閲覧可能な状態であったことから、メールに記載の情報が流出した可能性がある、という説明です。

なりすましメールとは何か

なりすましメールとは、本物の差出人のアカウントから、本人ではない人が送るメールのことです。今回の東日本の件では、社員の本物のアカウントが使われているので、受け取った側から見ると、差出人のアドレスは普段やり取りしている担当者のものです。差出人の表示だけで本物かどうかを見分けることはできません。

この種の攻撃では、乗っ取ったアカウントの過去のやり取りを読み、続きの話のように見せかけて、添付ファイルを開かせたり、偽のログイン画面に誘ったりする手口が知られています。今回送られた825件のなりすましメールの本文が何だったかは公表されていませんが、東日本は第1報で「当社の関係者になりすましたメールが増える可能性があります」と注意を呼びかけています。

各社の対応：パスワードの変更、委員会への報告、調査の継続

発表に書かれている対応を、会社ごとに並べます。発表に無いことは書いていません。

対応	東日本三菱自動車販売	西日本三菱自動車販売	三菱自動車工業
パスワードの変更	不正アクセスを受けたアカウントを含む全社員のパスワードを変更。その後の不正ログインは確認されていない	不正アクセスを受けたアカウントを含むすべてのアカウントのパスワードを変更。以降の不正ログインは確認されていない	各販売会社が全アカウントのパスワード変更などの初動対応を実施と説明
個人情報保護委員会への報告	報告済み。第2報の内容も追加情報として報告	法令に基づき報告	各販売会社が報告と説明
調査	持ち出しの有無、侵害範囲、その他の漏えいの可能性を外部調査機関の協力で調査中	今後公表すべき事項が判明すれば知らせると記載	外部専門家の協力で影響範囲の特定と原因の調査。グループ全体の対策を強化
なりすましメールの送信先への連絡	送信先に個別に連絡し、メールの削除を依頼（第1報）	記載なし	記載なし

補償やお詫びの品について、3社の発表にはいずれも記載がありません。補償があるのか、無いのかを推測して書くことはできません。漏えいのときの補償が一般にどう扱われているかは情報漏洩の補償はもらえるのかで整理しています。

また、24,480件の客一人ひとりに手紙やメールで知らせるかどうかも、東日本の第2報には書かれていません。通知を待つより、自分が対象の時期に取引したかどうかを先に確かめるほうが早いでしょう。

自分が対象かを確かめる方法

公式の発表から、自分が対象に入るかどうかを見分ける手がかりは次のとおりです。

東日本三菱自動車販売で、2024年11月から2026年9月の間に、車や用品を買った、修理や点検整備に出した、のどれかに当てはまるか。当てはまれば、24,480件の対象に入っている可能性があります
東日本三菱自動車販売の担当者から、2026年10月ごろに不審なメールを受け取ったか。なりすましメールの送信先になった人は、第1報でメールアドレスと氏名が漏えいしたとされています
西日本三菱自動車販売の担当者と、メールで氏名・住所・車両の話をやり取りしたことがあるか。件数や時期は書かれていないので、心当たりがあれば窓口に聞くのが確実です

自分の取引がどちらの販売会社だったかは、車検証の控えや整備の明細、販売店の領収書に書かれた会社名で確かめられます。三菱の販売店でも、店舗によって運営会社が違うことがあります。店舗の名前だけで判断せず、書類の会社名を見てください。

どちらにも当てはまらない人、たとえば別の地域の販売会社だけを使っている人について、10月30日時点で漏えいの可能性は発表されていません。ただし、三菱自動車工業は新たな事案が確認されれば同じページで知らせるとしています。気になる人は、三菱自動車工業のお知らせのページを後日もう一度開いて確かめるとよいでしょう。

窓口に問い合わせるときは、次の情報を手元に用意しておくと話が早く進みます。

車検証に書かれた登録番号（ナンバー）と、取引した店舗名
取引した時期（購入・点検・修理の日付）
不審なメールを受け取った場合は、その差出人と受信日時（メールは削除せず残しておく）

販売会社を装う連絡の見分け方

今回の件で一番起きやすいのは、販売会社の関係者を名乗る連絡です。東日本は「当社関係者を装ったメールや、当社関係者を名乗る不審なSMS、電話、郵便物等」に注意するよう呼びかけ、西日本も「当社を装った不審な連絡やメール、SMS、電話」に注意するよう書いています。

漏洩した可能性がある項目を見ると、氏名、ナンバー、店舗名、担当者名、購入時の諸費用や修理代金です。これらは単独では使い道が限られますが、連絡の本物らしさを演出する材料にはなります。「〇〇店の担当の△△です。先日の点検の件で」と、実際の店舗名と担当者名、自分のナンバーまで言い当てられると、多くの人は本物だと思ってしまいます。

よくある口実の例

公式の発表に手口の例は書かれていないため、ここでは車の販売店を名乗る連絡で一般に考えられる口実を挙げます。どれも「本物の販売店も送ってくる連絡」に似ているのが厄介な点です。

車検や点検の案内で、予約や支払いのためにURLを開かせる
リコールや保証の手続きと称して、個人情報やカード番号を入力させる
諸費用の過払いや返金があると言って、口座番号やキャッシュカードの暗証番号を聞き出す
修理代金の未払いがあると言って、支払いを急がせる
担当者の交代を告げて、新しい連絡先（個人の携帯番号やLINE）に誘導する

確かめ方は「自分からかけ直す」の一択

見分けるときに頼れるのは、連絡の中身ではなく、連絡の経路です。

メールやSMSに書かれたURLは開かない。予約や手続きが要る場合は、ブックマークや検索から販売会社の公式サイトを開き直す
電話がかかってきたら、その場で答えず一度切る。公式サイトや車検証の控えに載っている店舗の番号へ、自分からかけ直す
郵便物に書かれた電話番号や二次元コードを使わない。差出人の会社名で公式サイトを探し、そこに載っている番号に問い合わせる
支払い、口座番号、暗証番号、カード番号の話が出たら、その時点で手を止める

西日本は、不審な連絡を受けた場合に「記載されたURLへのアクセスや個人情報の提供・入力は決して行わないよう」求めています。三菱自動車工業も同じ趣旨の注意を出しています。

偽のメールの見分け方はフィッシング詐欺メールの見分け方、SMSの見分け方はスミッシング詐欺の見分け方に、本文とURLで判断する手順をまとめています。今回のように差出人が本物のアカウントの場合でも、URLの行き先と、求められている行動（入力・支払い・連絡先の変更）を見れば、手を止める場面は判断できます。

利用者がすること：漏洩した可能性がある項目に合わせて

漏洩した可能性がある項目によって、やるべきことは変わります。今回の発表では、客のパスワードやカード情報は含まれていないとされているので、全員が一斉にパスワードを変える必要はありません。項目ごとに、要るものだけを挙げます。

当てはまる人	すること
東日本の対象期間に取引した人（氏名・ナンバー・金額など）	販売会社を名乗る連絡は、公式の番号へ自分からかけ直して確かめる。家族にも同じことを伝える
東日本のなりすましメールを受け取った人	添付ファイルを開いた、リンク先で入力した場合は、入力したサービスのパスワードを変更し、二段階認証を設定する。開いただけでも、端末のウイルス対策ソフトで検査する
西日本の担当者とメールで住所をやり取りした人	郵便物や訪問を装った連絡にも注意する。不審な郵便物は差出人を公式サイトで確かめる
偽のページにカード番号を入れてしまった人	すぐにカード会社に連絡し、利用を止めて明細を確かめる

パスワードと二段階認証

客のパスワードは今回の項目に入っていません。ただし、なりすましメールに誘われて偽のログイン画面にIDとパスワードを入れてしまった場合は話が別です。そのIDとパスワードを使い回しているサービスはすべて変える必要があります。変える順番と使い回しの見直し方はパスワードが漏洩したらどうなるで解説しています。

二段階認証とは、パスワードに加えて、スマートフォンに届く番号や認証アプリの確認など、もう1つの手段でログインを確かめる仕組みのことです。パスワードが知られても、これがあればログインを防げる場面が多くあります。普段使うメールやネット銀行で、まだ設定していなければこの機会に設定しておくと安心です。

住所が含まれている可能性がある人

西日本の件では、メールに記載の住所が外部に流出した可能性があるとされています。住所が知られたときに考えられることと、郵便物や訪問への備え方は個人情報が流出して住所が漏れたときの対応にまとめています。住所は変えられない情報なので、怪しい郵便物は開封前に差出人を確かめる、という習慣が一番の守りになります。

家族に伝えておきたいこと

車の名義人と、実際に販売店とやり取りしている人が違う家庭は少なくありません。車を買ったのは親で、点検の予約は子どもがしている、という形です。今回漏洩した可能性がある情報には氏名と車両登録番号が含まれているので、名義人の親あてに、販売店を名乗る電話や郵便物が届くことも考えられます。

とくに高齢の家族には、次の3点を短く伝えておくと役に立ちます。

販売店を名乗る連絡で、お金の話や口座番号、暗証番号の話が出たら、その場で答えずに電話を切る
折り返すときは、相手が言った番号ではなく、車検証の控えや整備の明細に書かれた店舗の番号にかける
迷ったら、家族か、販売会社の総務課の窓口に相談する

「点検の時期です」「リコールの対象です」といった連絡は、本物の販売店からも届くものです。だからこそ、中身で見分けようとするより、連絡の経路を自分で選び直すほうが確実です。本物の連絡であれば、こちらからかけ直しても困ることはありません。

家族の中で一人が不審な連絡を受けたら、そのことを家族全員で共有しておくと、同じ口実の連絡が別の家族に届いたときに気づけます。届いたメールやSMSは削除せずに残しておくと、販売会社の窓口に相談するときに説明しやすくなります。

問い合わせ窓口（2026年10月30日時点の公式の記載）

窓口は販売会社ごとに分かれています。三菱自動車工業のお知らせも、不審な連絡を受けた場合は各販売会社の窓口へ連絡するよう案内しています。

会社	窓口	電話番号	受付時間
東日本三菱自動車販売	総務部総務課	03-3710-7811	10:00から18:00（定休日火曜日・水曜日）
西日本三菱自動車販売	総務部総務課	06-6398-2100	10:00から18:00（定休日火曜日・水曜日）

どちらも火曜日と水曜日が定休日で、この2日間は電話が通じません。急ぐ場合は木曜日から月曜日の受付時間内にかけてください。

西日本三菱自動車販売の発表の本文は、西日本三菱自動車販売「当社社員のメールアカウントへの不正アクセスについてのお知らせとお詫び」で読めます。

窓口の番号は、ここに書いたものをそのまま信じるのではなく、各社の公式サイトのお知らせで同じ番号かを確かめてからかけるのが安全です。今回の件のように、偽の連絡が「問い合わせ窓口」を名乗ることもあるためです。

在宅で仕事をする人が、この件から取り入れたいこと

今回の件は、大きなシステムが破られたのではなく、社員1人のメールアカウントに入られたことから始まっています。在宅で仕事をする人、フリーランスや副業で取引先とメールでやり取りしている人にとっても、他人事ではありません。自分のメールアカウントには、取引先の担当者の名前、連絡先、請求の金額、ときには取引先の顧客の名簿まで残っていることが多いからです。

メールの箱に名簿を残さない

東日本の件で客の情報が問題になったのは、乗っ取られたアカウントの中に、個人情報を含むリストが保存されていたためです。仕事で受け取った名簿や顧客の一覧を、メールに添付されたまま何年も残していないか、一度見直してみてください。

作業が終わった名簿の添付ファイルは、取引先との約束に沿って削除するか、パスワード付きの保管場所に移す
取引先から預かった個人情報を、個人用のメールアドレスで受け取らない
メールの自動転送の設定に、心当たりのない転送先が無いかを確かめる

ログインの守りを固める

会社のメールでも個人のメールでも、IDとパスワードだけで入れる状態は危険です。多要素認証とは、パスワードに加えて別の手段で本人かを確かめる仕組みで、二段階認証と同じ考え方です。仕組みと製品の選び方はMFA（多要素認証）導入のメリットと製品比較で解説しています。身に覚えのないログインの通知が届いたときの確かめ方は不正ログインの通知が来たらが参考になります。

取引先の情報が漏れたとき、知らせる必要があるか

個人情報保護委員会は、事業者が個人データの漏えい等（そのおそれを含む）を起こしたとき、一定の場合に委員会への報告を義務づけています。委員会のページでは、報告が必要な場合として、要配慮個人情報が含まれる場合、不正に使われると財産的な被害が出るおそれがある場合、不正の目的をもって行われたおそれがある場合（不正アクセスなど）、本人の数が1,000人を超える場合などが挙げられています。報告の期限は「発覚したら、まずは速やかに」とされ、不正な目的で行われたおそれがある場合は発覚日から60日以内と書かれています。

個人で仕事を受けている人でも、取引先から預かった個人情報を事業で扱っていれば、この決まりと無関係ではありません。どの場合に報告や本人への通知が要るかは、件数や情報の中身で変わります。自分のメールアカウントが乗っ取られたかもしれないと気づいたら、まず取引先に事実を伝え、取引先と一緒に、個人情報保護委員会の漏えい等の対応とお役立ち資料を見ながら対応を決めるのが筋です。報告するかどうかを一人で判断せず、取引先の担当者や、必要なら委員会の相談窓口に確かめてください。

取引先に伝えるときは、いつ気づいたか、どのアカウントか、そのアカウントに取引先のどんな情報があったか、すでに何をしたか（パスワードの変更、ログインの履歴の確認、転送設定の確認）を、分かっている範囲で書き出して渡します。分からないことは分からないと書き、推測で「漏れていない」と言い切らないことが、取引先の判断を誤らせないための基本です。

在宅ワークの市場を見てきた立場から言えること

フリーランスと在宅ワークの仲介を2004年から続けてきた運営者として見てきた限りでは、仕事のトラブルの入口はシステムの欠陥より、メールでのやり取りにあることが多いと感じます。取引先の担当者を名乗るメールで振込先の変更を告げられる、納品物の受け渡しと称して偽の共有リンクが届く、といった相談は、規模の小さな取引ほど起きやすい傾向があります。相手の顔が見えず、メールとチャットだけで仕事が進むからです。

長く続いている人ほど、支払い先の変更や新しい共有先の案内を受けたときに、メールで返信するのではなく、前から知っている別の連絡手段で確かめ直しています。今回の販売会社の件で求められている「自分からかけ直す」は、在宅の仕事でも同じように効く守り方です。

セキュリティの知識は、それ自体が仕事にもなります。中小の会社では、今回のような Microsoft 365 の設定の見直しや、社員向けの注意喚起の資料づくりを外部に頼みたいという需要があります。@SOHO のAI・マーケティング・セキュリティのお仕事では、この分野でどのような仕事が募集されているかと、求められる知識をまとめています。