個人情報が流出して住所が漏れたときの対応｜起きることと防ぎ方の順番

利用していたサービスから「個人情報が流出した可能性があります」という通知が届き、漏れた項目に住所が含まれていた。この瞬間にいちばん困るのは、何が起きるのか分からないことです。カード番号なら止められる、パスワードなら変えられる。ところが住所は、変えるのに引っ越しが必要で、止めることもできません。

私は在宅で仕事を請ける立場で自分の住所を扱ってきましたし、発注側として取引先の住所を預かる立場にも立ってきました。その両方から見て言えるのは、住所の流出は「すぐに被害が出るもの」ではなく「これから数年にわたって確率が上がるもの」だということです。だから対応も、今日で終わる作業と、これから続ける習慣の2段階に分かれます。この記事では、その両方を順番に整理します。

まず確かめるのは「何が一緒に漏れたか」

住所そのものより先に見るべきなのは、住所と何が組になって漏れたかです。危険度がまったく変わります。

住所だけ、あるいは住所と氏名だけであれば、実はそれほど珍しい情報ではありません。年賀状のやり取りをする相手は全員それを知っていますし、宅配便の伝票にも書かれています。ここで深刻さが跳ね上がるのは、次の要素が加わったときです。生年月日、電話番号、メールアドレス、勤務先、家族構成、そして本人確認書類の画像。この組み合わせが揃うほど、本人になりすます材料が揃います。

特に危ないのが、本人確認書類の画像です。運転免許証やマイナンバーカードの券面写真が流出していれば、携帯電話の契約、金融サービスの口座開設、古物商への売却など、本人になりすました手続きが試みられる可能性があります。個人情報保護委員会も、財産的被害が生じるおそれのある漏えいを報告義務の対象として明示しています。

不正に利用されることにより財産的被害が生じるおそれがある個人データの漏えい等（又はそのおそれ） 出典: ppc.go.jp

次に見るのが、パスワードが平文だったかどうかです。通知文に「暗号化されていないパスワードを含みます」と書かれていたら、そのサービスだけでなく、同じパスワードを使い回している全サービスが危険な状態になります。ここは住所より優先して手当てしてください。

そしてもう一つ、見落とされがちなのが購入履歴や利用履歴です。何を買っているか、どのサービスをいつ使っているかは、詐欺のメールやSMSを本物らしく見せる材料になります。「先日ご注文いただいた商品について」という文面が、実際の注文と一致していたら、多くの人が疑いません。

事業者からの通知は、書いてある順ではなく項目で読む

漏えいの通知文は長く、謝罪と経緯が前半を占めます。読むべきなのは後半です。確認する項目は5つに絞れます。

1つ目は、漏えいした項目の一覧。ここに自分の情報のどれが含まれるかが書かれています。「可能性があります」という表現になっていることが多いですが、含まれている前提で動くのが安全です。2つ目は、対象となった人数と期間。3つ目は、原因。外部からの不正アクセスなのか、委託先の設定ミスなのか、従業員による持ち出しなのかで、その後の流通の仕方が変わります。不正アクセスであれば、データが売買される可能性を前提に考えます。4つ目は、二次被害の有無。すでに不正利用が確認されているなら、自分にも起きうると考えてください。5つ目は、問い合わせ窓口と、個人情報保護委員会への報告の有無です。

報告の有無を確認する意味は、事業者が法律上の義務を認識しているかどうかが分かるからです。個人情報保護法では、一定の類型に該当する漏えいについて委員会への報告が義務づけられており、不正な目的で行われたおそれがある場合には発覚日から60日以内という期限が定められています。あわせて、本人への通知も求められます。通知が来たということは、少なくともこの手続きに乗っている可能性が高い。

逆に、ニュースで知ったのに事業者から個別の連絡が来ない場合は、自分が対象かどうかを問い合わせてください。対象者の絞り込みに時間がかかっているだけのこともありますが、問い合わせた記録を残しておくこと自体に意味があります。

通知文に「現時点で二次被害は確認されていません」と書かれていても、それは調査時点の話です。名簿として流通するまでに時間差があるので、半年後に動き出すことは普通にあります。通知は保存しておいてください。後から不審な連絡が来たとき、どこから漏れたかを推定する材料になります。

住所が漏れると、実際には何が起きるのか

抽象的に不安がるより、起きうることを具体的に並べたほうが対策が立てやすい。実務で見てきた範囲では、次の5つです。

1つ目はダイレクトメールと営業電話の増加です。名簿として売買され、投資、不動産、リフォーム、墓地といった分野の勧誘が届き始めます。これは実害としては小さいものの、名簿に載ったことの分かりやすい兆候です。

2つ目が、宅配を装ったSMSと訪問です。住所を知っている相手から「お届けにあがりましたが不在でした」という連絡が来ると、実際に注文した覚えがなくても反応してしまう。ここからフィッシングサイトへ誘導されるのが定番の流れです。訪問の形を取る場合は、代金引換で身に覚えのない荷物が届く送りつけの手口があります。

3つ目が、なりすましによる手続きです。氏名、住所、生年月日が揃っていると、通信販売での後払い注文、一部の会員サービスの登録、ポイントの不正利用などが試みられます。本人確認書類の画像まで漏れていれば、携帯電話の契約や口座開設に及ぶこともあります。

4つ目が、郵便物の横取りです。郵便局の転居届を第三者が勝手に出し、郵便物を別の住所へ転送させる手口が過去に問題になりました。現在は本人確認が強化されていますが、届くはずの書類が届かなくなったら真っ先に疑う項目です。

5つ目が、精神的な圧迫です。同居する家族がいる場合、住所が特定されていること自体が生活に影響します。特に、過去にストーカーやDVの被害があった人にとっては、実害の有無にかかわらず深刻な問題になります。この場合は後述する住民票の閲覧制限を検討してください。

逆に、起きにくいことも書いておきます。住所が漏れただけで空き巣に入られる、というのは考えにくい。空き巣が見ているのは在宅の有無と侵入のしやすさであって、名簿ではありません。ここに怯えて引っ越しを決めるのは、費用に見合いません。

その日のうちに済ませる手当て

住所そのものは変えられませんが、住所を使った手続きを難しくすることはできます。今日中に済ませられるのは次の作業です。

まず、金融まわりの通知を全部オンにします。クレジットカードの利用通知、銀行の入出金通知、証券口座のログイン通知。少額でも即座に気づける状態にしておくことが、被害の上限を決めます。カード会社によっては利用のたびにプッシュ通知を出す設定があるので、面倒でも全カードで有効にしてください。

次に、パスワードの使い回しを解消します。漏えいしたサービスのパスワードを変えるのは当然として、同じパスワードを使っている他のサービスをすべて変える。数が多くて手が止まるなら、金銭が動くサービスから順にやってください。銀行、証券、決済、主要なメール、仕事で使うアカウントの順です。管理の方法については在宅ワークのパスワード管理アプリの選び方に具体的な比べ方をまとめています。

そして、二段階認証を有効にします。パスワードが漏れていても、二段階認証が入っていれば侵入は止まります。ここで優先すべきはメールアカウントです。メールを取られると、他のサービスのパスワード再設定がすべて通ってしまうからです。もしすでに乗っ取りの兆候があるなら、アカウントが乗っ取られたときの対処法の手順で復旧の順番を確認してください。

携帯電話会社には、契約内容の変更やSIMの再発行に暗証番号を必須にする設定があります。これも入れておきます。本人確認書類の画像が漏れている場合、この手当ては特に効きます。

最後に、郵便物の到着を1か月ほど意識しておいてください。毎月届くはずの明細やダイレクトメールがぱたりと止まったら、転送届を疑って郵便局に確認します。

引っ越したほうがよいのか、という判断

相談でいちばん多い質問がこれです。結論から言うと、ほとんどの場合は必要ありません。ただし例外があります。

引っ越しを検討すべきなのは、住所の流出が特定の個人による意図的な追跡と結びついている場合です。元交際相手、退職した職場のトラブル、SNSでの執拗な絡み。こうした背景があるなら、住所を変えることに意味があります。逆に、大規模な情報漏えいの一件として自分の住所が含まれていただけなら、名簿上の1行に過ぎず、誰かがそこを目指して来ることは考えにくい。

引っ越しの費用は、単身でも十数万円から数十万円かかります。同じ金額を、玄関の防犯カメラ、郵便受けの施錠、宅配ボックスの設置に使ったほうが、日常的な安全度は上がります。費用対効果で考えてください。

追跡の懸念が現実的な場合は、引っ越しの前に住民票の閲覧制限を検討します。DVやストーカー、児童虐待などの被害者を対象に、住民票の写しや戸籍の附票の交付を制限する支援措置という制度があります。申し出先は住んでいる市区町村で、警察や配偶者暴力相談支援センターなどの意見を添えて申し出る形になります。引っ越してもこの手続きをしなければ、住民票を移した時点で新しい住所が辿れてしまうので、順番としてはこちらが先です。

仕事の関係で住所を公開している場合は、その公開をやめるほうが先です。特定商取引法に基づく表記、SNSのプロフィール、ポートフォリオサイトのフッター。自分で公開している住所があるなら、そこを閉じるほうが引っ越しより安上がりで、効果も確実です。

在宅で働く人が、住所を出さずに仕事を受ける方法

在宅で仕事を請けていると、住所を書く場面が想像以上に多くあります。契約書、請求書、源泉徴収に関する書類、ネットショップの表記、電子書籍の出版者情報。ここを整理しておくと、今後の流出リスクが減ります。

まず、請求書に住所を書く必要があるかを確認します。取引先の経理処理上、請求書に住所の記載を求められることはありますが、法律上の必須項目ではありません。屋号と氏名、連絡先、振込先があれば足りる場面が多い。求められたら書く、求められなければ書かない、という運用に変えるだけで露出は減ります。

次に、ネットショップや有料コンテンツの販売をしている場合です。通信販売にあたるため、事業者の氏名、住所、電話番号を表示する義務があります。ここは省略できません。対策は、住所として使える別の拠点を持つことです。バーチャルオフィスや貸し住所のサービスは月額数千円から利用でき、郵便物の転送にも対応します。プラットフォームによっては、条件を満たせばプラットフォーム側の情報で代替できる仕組みを用意していることもあるので、規約を確認してください。

そして、案件の探し方そのものも関係します。個人からのダイレクトメッセージで受ける仕事は、契約前に住所を求められることが多く、相手の実体も確認しづらい。発注情報が公開されている場から応募する形にすると、必要な情報の範囲がはっきりします。どの分野にどんな仕事があるかは、AI・マーケティング・セキュリティのお仕事やカスタマーサポート・事務全般のお仕事のような分野別のページで俯瞰できます。

開示する範囲の線引きそのものについては、在宅の副業で本名や住所をどこまで開示するかで整理しています。今回の流出を機に、自分の運用を一度見直す価値があります。

どこから漏れたかを、自分で推定できるようにしておく

通知が来て初めて気づくのでは遅い。自分で出所を特定できる仕組みを作っておくと、次からは自力で検知できます。

いちばん手軽なのが、サービスごとに違うメールアドレスを使う方法です。多くのメールサービスでは、アドレスの@より前に記号と文字列を足しても同じ受信箱に届く仕組みがあります。通販サイトごとに違う文字列を付けて登録しておけば、迷惑メールが届いたときに、どの文字列宛てに来たかを見るだけで出所が分かります。独自ドメインを持っているなら、受信を全部まとめる設定にして、登録のたびに新しいアドレスを作る運用もできます。

氏名の表記を変える方法もあります。ミドルネームのような余分な文字を1つ入れる、漢字とカタカナを使い分ける。ダイレクトメールの宛名がその表記になっていれば、どこから流れたかが一目で分かります。名簿の売買を追跡するために、実際に事業者が使ってきた手法でもあります。

住所についても、部屋番号の書き方や建物名の有無を変えておくと目印になります。郵便は届くので実害がなく、あとから区別ができる。この3つを組み合わせておけば、次に何かが起きたとき、原因の特定に時間を使わずに済みます。

そして、メールアドレスが既知の流出に含まれているかを調べられる公開サービスもあります。入力したアドレスがどの流出事案に含まれていたかを返してくれるもので、無料で使えます。ただし、入力自体が情報提供になるため、運営元が信頼できるかを確認してから使ってください。運営者の素性が分からないサイトに自分のアドレスを打ち込むのは、確認のつもりで新しいリスクを作る行為になります。

被害が出るのは漏れた日ではなく、流通した日

漏えいの報道が出てから何も起きないので安心した、という声をよく聞きます。ここに時間差があることを知っておいてください。

漏れたデータは、そのまま使われるとは限りません。多くの場合、いったん名簿として整理され、他の名簿と突き合わされ、価値のある組み合わせが作られてから売買されます。この加工に時間がかかります。氏名と住所だけの名簿より、氏名と住所と電話番号と年齢と購買履歴が揃った名簿のほうが高く売れるからです。複数の流出元から集めた情報を、氏名と生年月日をキーに結合する作業が行われます。

つまり、自分が関係した漏えいが1件でも、他の漏えいと組み合わさって初めて実害になることがある。だから「今回漏れたのは住所だけだから大丈夫」という判断は成り立ちません。過去に別のサービスから電話番号が漏れていれば、そこで組になります。

実際に勧誘の電話やダイレクトメールが増え始めるのは、漏えいの公表から数か月後というのがよくある流れです。1年以上経ってから動き出すこともあります。ですから、通知を受け取ったあと3か月何も起きなくても、警戒の水準を元に戻さないでください。

この性質から導かれる対策は単純です。1つの事故に対して一度だけ対応するのではなく、通知の有無にかかわらず定期的に同じ点検をする。カードの明細を毎月見る、身に覚えのない登録確認メールが来ていないか確認する、主要なサービスのログイン履歴を見る。半年に一度でよいので、これを習慣にしておくほうが、個別の事故に一喜一憂するより効果があります。

不審な郵便や訪問への具体的な応対

住所が知られている前提で連絡が来ると、判断が鈍ります。応対の仕方をあらかじめ決めておくと迷いません。

宅配業者を名乗るSMSが届いた場合、リンクは開きません。本当に荷物があるなら、宅配業者の公式アプリか、伝票番号を公式サイトに自分で入力すれば確認できます。リンクを開かないという一点を守るだけで、この系統の被害はほぼ防げます。不在通知の紙が郵便受けに入っていた場合も、紙に書かれた電話番号ではなく、自分で調べた公式の番号にかけてください。

身に覚えのない荷物が代金引換で届いた場合は、受け取らないのが原則です。いったん支払ってしまうと、返金の交渉が難しくなります。家族が受け取ってしまった場合でも、開封前であれば配達業者に連絡して返品の相談ができることがあります。開封してしまったら、購入の意思表示をしていない以上、支払う義務があるかは争えるので、消費者ホットライン188に相談してください。

訪問販売や、公的機関を名乗る訪問については、玄関を開ける前に用件と所属を確認します。本物の公的機関が、予告なく訪問して個人情報の確認を求めることは基本的にありません。名刺や身分証を見せられても、その場で判断せず、代表番号にかけ直して在籍を確認する。この一手間で止まります。

そして、応対の記録を残してください。日時、名乗った所属、用件、電話番号。こうした記録は、後から警察や消費生活センターに相談するときに、単発の不審な出来事ではなく継続的な事象として扱ってもらう材料になります。1件だけでは動きにくくても、3件並ぶと話が変わります。

同居する家族と共有しておくこと

自分が気をつけていても、家族が電話に出て情報を渡してしまえば同じことです。特に、高齢の親や未成年の子どもと同居している場合は、最低限の取り決めを共有してください。

共有するのは3つだけで十分です。1つ目、電話で氏名以外の個人情報を答えない。生年月日、勤務先、家族構成、口座、カード番号。これらを電話で聞いてくる相手は、正規の事業者でも珍しく、疑ってよい。2つ目、宅配や役所を名乗る連絡でも、その場で手続きを進めない。いったん切って、自分で調べた番号にかけ直す。3つ目、お金の話が出たら必ず家族に相談する。

この3つを紙に書いて電話機の近くに貼っておく、というのが実際にいちばん効きます。口頭で伝えても、実際に電話が鳴っているときには思い出せません。

子どもがいる場合は、もう1点あります。SNSに家の写真や制服、地域が分かるものを載せない、という習慣です。住所が名簿に載っていることと、投稿から場所が特定できることが組み合わさると、精度が上がります。逆に言えば、片方を断てば精度は落ちます。

そして、家族に説明するときは不安を煽らないでください。「危ないから何もするな」という伝え方をすると、実際に不審な連絡が来たときに隠されます。「こういう電話が来たら、答えずに私に言ってほしい」という頼み方のほうが、情報が上がってきます。前の記事でも書いたことですが、隠されることがいちばん怖い。

自分が情報を預かる側でもある場合

在宅で仕事を請けていると、取引先の顧客名簿や会員データを扱う場面が出てきます。今回の流出を自分の側でも起こさないために、点検しておくべき項目があります。

まず、受け取ったデータをどこに置いているか。納品後も個人のパソコンやクラウドストレージに残っていませんか。契約上、作業終了後に消去する義務が定められていることが多く、残しておくこと自体が違反になります。案件が終わったらフォルダごと消し、ゴミ箱も空にする。この習慣がないと、自分のパソコンが侵害されたときに、取引先の顧客情報まで巻き込みます。

次に、受け渡しの方法です。メールの添付でやり取りしている場合、宛先の入力ミス1つで漏えいになります。個人情報保護委員会が挙げる報告対象の例にも、メールマガジンの宛先をBCCではなくCCに入れて一括送信した事例が含まれています。件数が多いほど重大になるので、共有リンクとパスワードを分けて送る、期限付きのリンクを使うといった方法に切り替えてください。

3つ目は、委託先です。自分がさらに他の人に手伝ってもらう場合、その人の管理体制まで自分の責任になります。再委託が契約で禁止されていないかを確認し、許されている場合でも同等の管理を約束させてください。

そして、万一起こしてしまったときに隠さないこと。発覚を遅らせるほど被害が広がり、事業者としての信用も損なわれます。気づいた時点で取引先に報告する。これが唯一の正解です。事業者としての初動の流れは、規模が小さくても考え方は同じです。

事業者に賠償を求められるか

漏えいさせた事業者に対して、損害賠償を請求できるかという話です。制度としては可能ですが、実際の金額は期待しないほうがよい、というのが率直なところです。

過去の裁判例では、氏名や住所といった情報の漏えいについて、1人あたり数千円から1万円程度の慰謝料が認められた例が中心です。実際に金銭的な被害が生じていれば別ですが、漏れただけの段階では、精神的損害として評価される金額は大きくありません。訴訟にかかる手間と費用を考えると、個人で起こす合理性は低い。

事業者が自主的に金券やポイントを配布する場合もあります。500円程度のことが多く、これを受け取ると請求権を放棄したことになるのか、という質問をよく受けますが、通常は見舞いの趣旨であって放棄の合意ではありません。ただし、受領時に示される条件の文面は読んでおいてください。

より実効性があるのは、個人情報保護委員会への情報提供です。事業者の対応に問題があると感じた場合、委員会に情報を提供できます。個別の被害救済をしてくれる窓口ではありませんが、同種の情報が集まれば指導や勧告につながります。実際に、報告や通知が遅れた事案では行政指導が行われています。

自分が事業者側でもある場合は、この機会に自社の扱いを点検してください。顧客の住所を預かっているなら、アクセスできる人を絞り、不要になった名簿を消す。漏えいが起きたときに誰が何をするかを決めておく。初動の流れはサイバーインシデント発生時に中小企業が取る初動手順にまとめてあります。

これから住所を渡す相手を減らす

流出した住所は取り消せませんが、これから増える露出は減らせます。ここを習慣にしておくと、次の流出のときに被害が小さく済みます。

最初にやるのは棚卸しです。自分の住所を登録しているサービスを書き出してください。通販、サブスクリプション、会員サービス、保険、ポイントカード。思い出せる範囲で構いません。書き出したら、もう使っていないものを退会します。退会すれば保有データは削除されるのが原則で、削除されない場合でも、個人情報保護法に基づいて利用停止や消去を請求できます。

次に、新しく登録するときの基準を決めます。住所の入力を求められたとき、その事業者が本当に物を送る必要があるかを考える。デジタルの商品やサービスで住所を求めてくるところは、マーケティング目的であることが多い。任意欄なら空欄で出します。

本人確認書類を送る場面では、送り方を工夫します。必要のない部分をマスキングする、番号を隠す、提出先が本当にその書類を必要としているかを確認する。特に、副業やアルバイトの応募で早い段階から身分証の写真を求めてくる相手は要注意です。まともな発注者は、契約が固まる前に身分証を求めません。

そして、情報を扱う側の知識を持っておくこと自体が防御になります。どの情報がどう危ないかを構造として理解していれば、個別の手口を暗記しなくても判断できます。体系的に学ぶならITパスポートが入口として扱いやすく、実務寄りに進めたいならCompTIA Security+のような資格が対応する範囲を確認しておくとよいと思います。こうした知識は、自分を守るだけでなく仕事の幅にもつながります。情報を扱う職種の収入の水準はその他の情報処理・通信技術者の年収・単価相場で確認できます。

最後に、これは何度でも書きますが、住所の流出で一晩眠れなくなるほど心配する必要はありません。確率が少し上がっただけです。上がった確率に見合った手当てを淡々と入れて、あとは通常どおり生活する。それが正しい落としどころだと考えています。

よくある質問

Q. 住所が漏れただけなら、放っておいてもよいですか？

放置は勧めません。住所単体の危険度は高くありませんが、氏名や生年月日、電話番号と組み合わさるとなりすましの材料になります。最低限、クレジットカードと銀行の利用通知をすべて有効にし、パスワードの使い回しをやめ、メールアカウントに二段階認証を入れてください。これだけで、住所を起点とした被害の多くは止められます。

Q. 事業者からの通知が来ませんが、自分は対象外ということですか？

断定はできません。対象者の特定に時間がかかっている場合や、連絡先が古くて届かない場合があります。ニュースなどで漏えいを知ったなら、公表されている問い合わせ窓口に自分が対象かどうかを確認してください。問い合わせた日付と回答を記録に残しておくと、後から不審な連絡が来たときに出所を推定する材料になります。

Q. 引っ越したほうがよいのでしょうか？

大規模な漏えいに自分の住所が含まれていただけなら、通常は必要ありません。費用に見合いません。検討すべきなのは、特定の個人からの追跡が現実的な懸念としてある場合です。その場合は引っ越しの前に、市区町村で住民票の閲覧制限に関する支援措置を申し出てください。先に手続きをしないと、転居先が住民票から辿られてしまいます。

Q. 漏らした会社に損害賠償を請求できますか？

請求自体は可能です。ただし、実際の金銭被害が出ていない段階では、過去の裁判例で認められた金額は1人あたり数千円から1万円程度が中心で、訴訟の手間に見合わないことが多くあります。実効性を求めるなら、個人情報保護委員会への情報提供のほうが現実的です。同種の情報が集まれば指導や勧告につながります。

Q. 在宅で仕事をしていますが、住所を公開せずに済ませられますか？

場面によります。ネットショップや有料コンテンツの販売は通信販売にあたるため、事業者の住所を表示する義務があり省略できません。この場合はバーチャルオフィスなどの貸し住所を使う方法があります。一方、請求書や契約書の住所は必須とは限らないので、求められたときだけ記載する運用に変えるだけでも露出はかなり減らせます。