個人情報が漏えいしたときの対応

2026年8月1日

＠SOHO編集部

この記事のポイント

✓個人情報が漏えいしたときの対応を
✓通知を受け取った個人の側と
✓漏えいを起こした事業者の側の両方から整理しました

個人情報が漏えいしたとき、いちばん困るのは「何から手をつければいいかわからない」という状態です。通知のメールが届いて不安になっている人も、自分が預かっていたデータを流出させてしまった事業者側の人も、共通してここで止まります。

この記事は、その2つの立場それぞれについて、時系列で何をするかを書きます。個人の側は最初の数日で被害を止める動き、事業者の側は法律で決められた報告と通知の手順です。順番も期限も決まっているので、知っていれば迷いません。データとルールで整理していきます。

通知を受け取った側が、最初の数日でやること

まず、その通知が本物かを確認してください。漏えいのニュースが出ると、それに便乗して「あなたの情報が流出しました。こちらから確認してください」という偽のメールが大量に出回ります。リンクをクリックせず、企業の公式サイトを自分で検索して開き、お知らせが出ているかを見る。これが最初の一手です。

本物だと確認できたら、次はパスワードの変更です。ただし、変更すべきなのは漏えいしたサービスだけではありません。同じパスワードを使い回している他のサービスが本当の危険です。漏えいしたIDとパスワードの組み合わせを、別のサービスで片端から試す攻撃があり、これが被害の中心になります。銀行、クレジットカード、主要なメールアカウント、通販サイトの順に変えていきます。

メールアドレスが漏れただけでも油断はできません。メールアカウントを乗っ取られると、他のサービスのパスワード再設定がすべて通ってしまいます。だからメールこそ最優先で、二要素認証を有効にしてください。認証アプリを使う方式がもっとも安全で、SMSは携帯番号の乗っ取りに弱いという弱点があります。

クレジットカード番号が含まれていた場合は、カード会社に連絡して再発行を依頼します。明細の確認は1回では足りません。少額のテスト決済を先に走らせてから大きな金額を使う手口があるため、数か月は毎月見てください。心当たりのない数百円の請求こそ危険信号です。

住所や電話番号が含まれていた場合は、金銭的な被害よりも、その情報を使った次の詐欺に警戒します。実在する住所と名前を知っている相手からの電話やハガキは、それだけで信用してしまいやすい。宅配便の不在通知を装う手口、自治体の還付金を装う手口はどちらも住所と名前が起点です。家族にも共有しておくと効果があります。

そして、記録を残します。通知の画面、日時、問い合わせた内容と回答。後で損害賠償を求める場合や、不正利用が起きたときの説明に使います。個人情報の漏えいに対する慰謝料の水準は、実際の被害が出ていない場合で1人あたり数千円から1万円程度というのが過去の裁判例の傾向で、正直なところ、これで割に合うと感じる人は少ないはずです。それでも記録は取っておいてください。実害が出たときは話が変わります。

何が漏れたかによって、危険度は大きく変わる

漏えいと一口に言っても、中身で深刻さが違います。優先順位をつけるために整理しておきます。

もっとも危険なのは、IDとパスワードの組み合わせです。単独の情報ではなく、そのまま他のサービスへの侵入に使えるからです。次に危険なのがクレジットカード情報で、特にセキュリティコードまで含まれていた場合は即座に使われます。この2つは、漏えいが判明した時点で分単位の対応が必要です。

次の層が、金融機関の口座情報、マイナンバー、本人確認書類の画像です。これらは口座の不正利用や、他人名義での契約に使われます。本人確認書類の画像が流出した場合、携帯電話の契約や暗号資産の口座開設に悪用される例があり、気づくのが遅れがちです。信用情報機関に本人開示を請求して、身に覚えのない契約がないか確認する方法があります。

その次が、氏名、住所、電話番号、メールアドレスといった基本的な情報です。単独では直接の被害につながりにくいものの、組み合わさると説得力のある詐欺に使われます。

そして、法律上とくに慎重な扱いを求められるのが、病歴や信条といった要配慮個人情報です。個人情報保護委員会は、報告が必要になる事態の1つ目としてこれを挙げています。

（1）要配慮個人情報が含まれる個人データの漏えい等（又はそのおそれ）※民間事業者等要配慮個人情報が含まれる保有個人情報の漏えい等（又はそのおそれ）※行政機関等出典: ppc.go.jp

2つ目として挙げられているのが、財産的な被害につながる情報です。

（2）不正に利用されることにより財産的被害が生じるおそれがある個人データの漏えい等（又はそのおそれ） ※民間事業者等不正に利用されることにより財産的被害が生じるおそれがある保有個人情報の漏えい等（又はそのおそれ） ※行政機関等出典: ppc.go.jp

通知を受け取ったら、まずこの分類のどこに当たるかを見てください。企業からの通知には、漏えいした項目が列挙されているはずです。項目が書かれていない通知は不十分なので、問い合わせて確認する価値があります。

事業者の側に課される、報告と通知の義務

ここからは、漏えいを起こした側の話です。現在の個人情報保護法では、一定の事態が起きた場合、個人情報保護委員会への報告と、本人への通知が義務になっています。以前は努力義務でしたが、今は義務です。ここを勘違いしている事業者がまだ多い。

報告が必要になるのは4つの類型です。1つ目が要配慮個人情報を含む場合。2つ目が財産的被害が生じるおそれがある場合。3つ目が不正の目的をもって行われたおそれがある場合で、外部からの不正アクセスやランサムウェアはここに入ります。4つ目が、対象となる本人の数が1,000人を超える場合です。

見落とされやすいのが「おそれ」という言葉です。漏えいが確定していなくても、その可能性がある段階で報告の対象になります。サーバーに侵入された形跡があるが持ち出されたかは不明、という状況は報告が必要です。確証を待って遅れるより、早く出したほうが安全です。

報告は2段階で行います。速報と確報です。速報は、その事態を知った時点からおおむね3日から5日以内に、判明している範囲で提出します。この時点で原因がわかっていなくても構いません。確報は30日以内で、不正アクセスなど3つ目の類型に当たる場合は60日以内です。確報では、原因、被害の範囲、再発防止策まで書きます。

報告を怠ったり、委員会の命令に従わなかったりした場合には罰則があります。法人に対しては1億円以下の罰金という規定があり、金額の面でも軽視できません。それ以上に、報告しなかったことが後から発覚したときの信用の失い方が深刻です。

委託先が漏えいを起こした場合の扱いも押さえておきましょう。個人データの取扱いを委託していて委託先で漏えいが起きたとき、報告義務を負うのは原則として委託元です。委託先が委託元に通知すれば、委託先は報告を免除されるという整理になっています。つまり、外部に業務を出していても責任は消えません。

本人への通知には何を書き、いつ出すか

本人への通知は、事態の状況に応じて速やかに行うとされています。日数が明示されていないぶん、判断が必要です。実務では、速報を出した後、被害の範囲が特定でき次第というのが一般的な流れになります。

通知に書く項目は決まっています。どんな事態が起きたかの概要、漏えいした個人データの項目、原因、二次被害またはそのおそれの有無とその内容、本人が問い合わせできる窓口、そして再発防止策です。この6つが揃っていない通知は不十分で、受け取った側が何をすればよいか判断できません。

書き方で差が出るのは、二次被害のところです。「現在のところ悪用は確認されていません」とだけ書く通知をよく見ますが、受け取る側が知りたいのは、自分が今すぐ何をすべきかです。パスワードを変えるべきなのか、カードを止めるべきなのか、来る電話を疑うべきなのか。具体的な行動を書いたほうが、結果として問い合わせも減ります。

本人への通知が困難な場合には、代替措置が認められています。連絡先を保有していない、連絡先が古くて届かない、といった場合です。代替措置としては、事案の公表と、本人が自分の情報が含まれるかを確認できる問い合わせ窓口の設置が挙げられます。ただし「困難」の判断は厳しめに見ておいたほうがよく、メールアドレスを持っているのに郵送が手間だから公表で済ませる、という運用は認められません。

通知の手段は、郵送、メール、電話のいずれでも構いません。ただしメールで送る場合、フィッシングと見分けがつかなくなる問題があります。本文にリンクを入れず、公式サイトのトップページから該当のお知らせを探せるようにする。この配慮がある通知は、真面目に設計されています。

漏えいはどこから起きているのか、経路別に見る

対応の話から少し離れて、原因を整理します。ここを知らないと再発防止策が的外れになるからです。

原因は大きく2つに分かれます。外部からの攻撃と、内部の人的ミスです。件数で見ると、ウイルス感染や不正アクセスといった外部要因が全体の6割前後を占めるという調査があり、残りが誤送信や設定ミス、紛失といった人的要因です。ただし、1件あたりの人数で見ると外部要因のほうが圧倒的に大きくなります。

実際の規模感は、公表事例を見るとわかります。

前述の東京商工リサーチの調査では、実際に発生した個人情報漏えい・紛失の事例も紹介されています。2024年の主な個人情報の漏えい・紛失事故では、東京ガスへの不正アクセス事件での漏えい・紛失人数が最多で、4,163,090人でした。合わせて、近年はテレワークの普及などにより、利用が拡大しているクラウドストレージなどの「クラウドサービス」への不正アクセスや、外部から社内ネットワークへの不正アクセスなどのケースが増加しています。また、公開範囲の設定ミスなどで情報漏えいが発生しているパターンもあります。出典: nttpc.co.jp

ここで注目すべきは、クラウドサービスの設定ミスが独立した原因として挙がっている点です。攻撃されたのではなく、公開範囲の設定を間違えて誰でも見られる状態にしてしまうパターンです。技術的には何も破られていないのに、情報は外に出ている。共有リンクを「リンクを知っている全員」に設定したまま渡す、ストレージのアクセス権限を初期設定のままにする。こうしたことが日常的に起きています。

人的なミスで多いのは、メールの誤送信です。宛先の入力補完で違う相手を選ぶ、複数の宛先を宛先欄に並べてメールアドレスを互いに見せてしまう。後者は一斉配信のたびに起きる典型で、送信の仕組みを変えないかぎり必ず再発します。

そして、退職者のアカウントが残っている問題。使われなくなったアカウントは監視も緩く、侵入経路として狙われます。人の出入りとアカウントの棚卸しを結びつけていない組織は、ここが穴になります。

起きる前に減らせること、起きた後に効くこと

再発防止策として書ける内容には、実効性に差があります。研修を実施しますと書くだけの報告書をよく見ますが、それで件数が減った例はあまり見ません。仕組みで止めるほうが確実です。

もっとも費用対効果が高いのは、認証の強化です。IDとパスワードだけの認証は、漏えいした組み合わせをそのまま試されると防げません。要素を1つ増やすだけで、この攻撃はほぼ無効になります。導入する製品によって運用の手間と費用がかなり変わるので、比較したうえで決めるべきところです。認証方式ごとの違いと製品の選び方を整理した記事があります。MFA（多要素認証）導入のメリットと製品比較｜2026年の認証セキュリティ決定版

次に効くのが、権限の最小化です。全員が全部のデータにアクセスできる状態を、必要な人だけに絞る。誰か1人のアカウントが乗っ取られたときの被害範囲が、そのまま変わります。地味ですが、漏えい人数を桁で減らす効果があります。

そして、人が引っかかるところを訓練で潰す方法です。フィッシングメールは年々巧妙になっていて、文面だけで見抜くのは難しくなっています。実際に模擬のメールを送って、誰がクリックするかを測り、結果を基に手当てしていく。この方法は効果を数字で確認できるのが利点です。社員のセキュリティ意識を向上させるフィッシングメール模擬訓練の効果｜2026年最新の従業員教育ガイドに、実施の流れと効果の測り方がまとまっています。

費用が壁になる場合は、支援制度を調べてみる価値があります。中小規模の事業者向けには、セキュリティ製品の導入を対象にした補助の枠があり、条件が合えば自己負担をかなり下げられます。中小企業のサイバーセキュリティ対策2026｜IT導入補助金で防御力を強化する方法で、対象になる製品の範囲と申請の流れを確認できます。

ネットワークの構成を理解している人が社内に1人いるかどうかでも、初動の速さが変わります。どこまで侵入されたかを切り分ける作業は、機器の構成がわかっていないと進みません。CCNA（シスコ技術者認定）は、そのための基礎をひととおり押さえられる資格で、社内にネットワーク担当を置く場合の目安になります。

小さな事業者やフリーランスが預かる個人情報

20年この市場を見てきた立場から言えば、個人情報の漏えいは大企業だけの問題ではありません。むしろ、業務を請け負う側の手元でこそ、守りが薄いまま大量のデータが扱われています。

顧客リストの入ったファイルを受け取って自分のパソコンで作業する。アンケートの回答をクラウドの表計算に置いたまま共有リンクで渡す。撮影した写真に写り込んだ顧客の顔をそのまま納品する。運営者として見てきた限りでは、このあたりは契約書に何も書かれないまま進んでいることが多い。発注する側も、受ける側も、明確に決めていないのです。

だから、受ける側から先に決めてしまうのが現実的です。預かるデータの範囲、保管する場所、作業が終わったあとの削除の期限。この3つを最初のやり取りで確認し、メールに残す。それだけで、事故が起きたときの責任の所在がはっきりします。守秘の取り決めを交わす場合も、対象のデータが何かを具体的に書いておくと機能します。

発注する側から見ても、これができる相手は安心して任せられます。単価の比較だけで選ばれる関係から抜け出したいなら、ここは差別化の材料になる。実際、継続して依頼を受けている人ほど、この種の手順を自分から提示しています。

そして、中間に手数料が乗らない直接の取引であれば、同じ予算で依頼する側はより多くを頼めて、受ける側の手取りは厚くなります。手数料0%が意味するのは金額の大小ではなく、同じ働きに対して手元に残る割合の違いです。手取りに余裕があれば、保管用の安全な環境を整える費用も出せる。安全の話と収入の話は、実は地続きです。

セキュリティ関連の業務がどんな内容で発注されているのかはAI・マーケティング・セキュリティのお仕事にまとまっています。技術職の報酬水準を知りたい場合はソフトウェア作成者の年収・単価相場で分布を確認できます。守る側に回る仕事は、今後も減りません。

社内で漏えいが判明した直後、24時間の動き方

報告の期限は決まっていますが、その前にやるべき作業があります。順番を間違えると、証拠が消えたり被害が広がったりします。

最初にやるのは、被害の拡大を止めることです。不正アクセスが疑われるなら、該当するサーバーをネットワークから切り離す。漏えいしたアカウントがあるなら、そのアカウントを停止する。誤送信なら、送った相手に削除を依頼する。ここで迷っている間にもデータは流れ続けるので、判断は早いほどよい。

ただし、ここで絶対にやってはいけないことがあります。サーバーを再起動したり、初期化したり、ログを消したりすることです。「とりあえず元に戻そう」という反射で操作すると、いつ誰がどこから入ったかの痕跡が消えます。痕跡が消えると原因が特定できず、確報に書く内容がなくなり、再発防止策も作れません。切り離すのはよいが、消すのはだめ。この区別を最初に共有しておいてください。

次に、事実の確定です。いつ気づいたのか、誰が気づいたのか、どのデータが、何件、どの範囲に出たのか。この時点でわからないことは「不明」と書いて構いません。大事なのは、わかっていることとわからないことを分けることです。憶測を事実として記録すると、後で訂正することになり、それが不信を招きます。

同時に、窓口を1つに決めます。漏えいが表に出ると、問い合わせが一斉に来ます。担当者ごとにばらばらの説明をすると、必ず食い違いが出て、それ自体が新しい問題になります。誰が答えるのか、何を答えてよいのかを決めてから公表する。この順番です。

そして、外部の専門家に連絡するかどうかを判断します。不正アクセスが絡む場合、社内だけで調査を完結させるのは難しい。ログの解析、侵入経路の特定、残存するバックドアの確認。これらは専門の事業者に依頼したほうが早く、結果として費用も抑えられることが多いです。警察への相談も選択肢に入ります。

24時間以内にここまで進めば、速報の提出には十分間に合います。逆に、初動で数日を使ってしまうと、期限に追われながら調査することになります。

公表するかどうか、どう判断するか

報告と本人通知は義務ですが、広く公表するかどうかは別の判断です。ここで迷う事業者は多い。

公表が事実上必要になるのは、連絡先を持たない人が対象に含まれる場合、対象者が多くて個別通知に時間がかかる場合、そして報道などで先に外から出る可能性が高い場合です。特に3つ目は重要で、外から先に出ると、隠していたと受け取られます。同じ内容でも、自分から出すのと、指摘されて出すのでは、受け取られ方がまったく違う。

公表する場合、書き方で差が出ます。避けたいのは、責任の所在を曖昧にする書き方です。「ご迷惑をおかけしました」と書きながら何が起きたか書かない文章は、読み手の不安を増やすだけです。起きたこと、原因、範囲、対応、問い合わせ先。この5つを淡々と並べたほうが、結果的に信頼を保てます。

公表の場所も考えどころです。サイトの奥の階層に置いて、トップからリンクしない運用をたまに見かけますが、これは後で必ず問題になります。見つけにくくしたと判断されるからです。トップページからたどれる位置に置き、更新があれば追記していく。進行中の事案であることを示すほうが、質問も減ります。

なお、公表したあとに追加の事実が判明することはよくあります。その場合、最初の発表を書き換えるのではなく、追記の形で更新日時とともに残してください。書き換えてしまうと、何をいつ知っていたのかがわからなくなり、それ自体が疑いを呼びます。

委託と再委託、責任がどこに残るか

業務を外に出している場合、責任の所在を整理しておく必要があります。ここを詰めていない契約が本当に多い。

個人データの取扱いを委託する場合、委託元には委託先を監督する義務があります。監督とは、契約で取扱いの条件を定め、それが守られているかを定期的に確認することです。契約書に一文入れただけでは監督したことになりません。どこに保管するのか、誰がアクセスできるのか、作業後にどう消すのか。確認の記録を残しておくところまでが監督です。

さらに面倒なのが再委託です。委託した相手が、さらに別の事業者に出す。この連鎖が把握できていないと、どこで漏れたのかすらわかりません。再委託を認めるかどうか、認めるなら事前の承諾を要するかを契約で決めておくのが基本です。実務では「再委託は事前の書面による承諾を要する」と定めるのが一般的です。

小規模な取引では、契約書を交わさずに始めることがあります。それでも、預かるデータの範囲と削除の期限だけはメールで確認しておくべきです。文面は短くて構いません。「今回お預かりするのは氏名とメールアドレスの一覧で、納品後30日以内に削除します」と書いて送り、相手が了解と返せば、それが記録になります。

事故が起きたときにこの記録があるかどうかで、話の進み方がまったく変わります。何を預かっていたかが不明なままだと、被害範囲の特定に何日もかかる。範囲がわからなければ通知も出せません。日常の一手間が、非常時の速度を決めています。

漏えいのあと、問い合わせ窓口をどう運営するか

通知を出すと、問い合わせが来ます。ここの設計を後回しにすると、対応そのものが二次的な問題になります。

最初に用意するのは、想定問答です。自分の情報は含まれているのか、何が漏れたのか、悪用されているのか、補償はあるのか、今後どうするのか。この5つは必ず聞かれます。回答を紙にして、誰が答えても同じ内容になるようにしておく。ここが揃っていないと、担当者ごとに説明が食い違い、その食い違いが新しい不信になります。

「自分の情報は含まれているか」への答え方には注意が必要です。問い合わせてきた人が本人かどうかを確認しないまま答えると、それ自体が新たな漏えいになります。本人確認の方法を先に決めておき、確認できない相手には対象範囲の一般的な説明にとどめる。冷たく感じられますが、こちらのほうが正しい運用です。

補償について聞かれたときは、その場で約束しないことです。金券を配るといった対応を取る事業者もありますが、対象者の範囲と総額を決めずに口頭で答えると収拾がつかなくなります。「現在検討しており、決まり次第お知らせします」と答え、実際に決めたら通知する。この順番を守ってください。

窓口の期間も決めておきます。事案の公表から一定期間で閉じるのか、通常のサポート窓口に統合するのか。閉じるタイミングを決めずに始めると、いつまでも人員を割くことになります。

そして、問い合わせの内容は記録して集計してください。どの質問が多いかがわかると、通知文のどこが伝わっていなかったかが見えます。次の通知を書くときに、その部分を先に書けばよい。問い合わせ件数は、通知の品質を測る指標として使えます。

保管しているデータを先に減らしておく

漏えいの被害の大きさは、その時点で持っていたデータの量で決まります。だから、平常時にできる最も効果的な対策は、持たないことです。

見直す順番は簡単で、まず「なぜこのデータを持っているのか」を項目ごとに問い直します。会員登録で生年月日を取っているが、実際には一度も使っていない。問い合わせフォームで電話番号を必須にしているが、返信はすべてメールでしている。こうした項目は、取得をやめるだけで将来の被害が減ります。

次に、保存期間です。過去の取引データを無期限に置いている事業者は多い。必要な期間を決めて、過ぎたものは消す。会計上の保存義務がある書類と、営業上あると便利なだけのデータを分けて考えると整理しやすくなります。

そして、作業用のコピーです。分析のために書き出した表計算ファイル、検証用に本番から持ってきたデータ。こうした一時的なコピーは、本体より管理が緩く、置き場所も散らばります。作ったら消す、という習慣を個人の努力に任せず、置き場所を1か所に決めて定期的に空にする運用にしたほうが確実です。

持っているデータの一覧が作れない状態は、それ自体が危険な兆候です。何を持っているかわからなければ、漏れたときに何が漏れたかも書けません。

よくある質問

Q. 漏えいの通知が届いたら、最初に何をすべきですか？

まず通知が本物かを確認します。メール内のリンクは踏まず、企業の公式サイトを自分で検索してお知らせを探してください。本物であれば、そのサービスと、同じパスワードを使い回している他のサービスのパスワードを変更します。メールアカウントは他サービスの再設定に使われるため最優先で、二要素認証も有効にしてください。