焼肉きんぐ／バーガーキング／ソースネクスト／skyticket
アプリ会員DB一網打尽
公式アプリの会員管理やAPIを突かれ、1社で1,000万件級が当たり前に。外食チェーンは2社続けて大台に乗りました。
Ranking
件数ランキング TOP20
行をタップすると中身が開きます。棒の長さは件数に比例。あとから「漏洩なし」と訂正された案件は除いています。
手口別
業種別
公表月の分布
月が分かる案件だけ。秋は報道が多いぶん、まとめにも偏りがあります。
真偽不明コーナー
楽天 1億100万件
ハッカーが「楽天会員の個人情報を販売する」と主張。漏洩元も真正性も未確認です。
ロート製薬 395万件
攻撃者が顧客情報約395万件を盗んだと主張。会社は確認していません。
Keywords
IDCFクラウド → JR東日本・イズミ・マウス…
1社コケたら495社
クラウド1社のランサム被害が495の企業・自治体に波及。JR東日本・JR九州は後に「漏洩なし」と訂正しました。
第一興商／東海大学／大和証券／KDDI
委託先ドミノ倒し
本体は無事でも委託先の端末やSaaSから漏れる。東海大は委託先がルールに反してデータを持ち帰っていました。
大阪公立大学／日本医大武蔵小杉病院／YCC
病院・大学・役所も人質に
大阪公立大は約500台のサーバーが止まり全授業を約1週間休講。山形市では健康情報約50万件に漏洩の可能性。
タイムズカー
免許証画像160万
パスワードは変えられても免許証の顔写真と住所は変えられない。退会者の分まで含まれていました。
All Cases
確定漏洩・流出を会社が確認おそれ漏洩の可能性があると公表調査中有無を調査中・未確認漏洩なしのちに漏洩なしと訂正確認待ちニュースから自動取得・公式未確認
| 公表 | 組織 | 件数 | 状態 | 手口 | 業種 | メモ |
|---|
訂正・更新の記録
個人情報と個人データ
各社の発表には「個人情報」と「個人データ」の両方の言葉が出てきます。似ていますが、法律（個人情報保護法）の上では範囲がちがいます。個人データは、個人情報の一部です。
個人情報
個人データ検索できるように
整理された個人情報
整理された個人情報
個人情報
生きている個人に関する情報のうち、氏名や生年月日などで特定の人を見分けられるもの（ほかの情報と簡単に照らし合わせて見分けられるものも含む）。マイナンバーや運転免許証番号のような「個人識別符号」を含むものも個人情報です。
個人データ
個人情報を、コンピュータで検索できるように整理した集まり（法律では「個人情報データベース等」）の中にある個人情報。会員名簿や顧客管理システムの中身がこれにあたります。
個人データになる例：データベースから取り出して外部の記録媒体に保存したもの、紙に印刷した帳票
ならない例：データベースに入力する前の、申込用紙に書かれた個人情報
漏洩の報告と本人への通知が義務になるのは「個人データ」の漏洩
漏洩や、漏洩のおそれがあり、次のどれかにあたると、会社は個人情報保護委員会への報告と、本人への通知をしなければなりません。
- 病歴などの「要配慮個人情報」が含まれる
- 不正に使われると、お金の被害が出るおそれがある（クレジットカード番号など）
- 不正アクセスなど、不正な目的で行われたおそれがある
- 対象の人数が1,000人を超える
3つめは、入力フォームが改ざんされて、入力した内容が第三者に送られた場合のように、これからデータベースに入れる予定だった個人情報も対象になります。このボードの案件の多くは、データベースへの不正アクセスなので「個人データ」の漏洩にあたります。
出典：個人情報保護委員会「個人情報の保護に関する法律についてのガイドライン（通則編）」2-1・2-4・2-6・3-5、「漏えい等の対応とお役立ち資料」。わかりやすさのために言い換えています。正確な定義は原文をご確認ください。
Check!
もしかしたら診断
当てはまるものを選ぶと、収録した案件のなかから「関係あるかも」を並べます。
内部不正・持ち出し
- 損保大手3社 × トヨタ出向者がトヨタ社員約2万人分の内部情報を無断で持ち出し。
- メットライフ生命出向先の代理店36社から2,476件の内部情報を無断で持ち出し。
- 神奈川県警警部補が暴力団に捜査情報を漏らした疑い。
- 航空自衛隊 岐阜基地隊員が部内限りの情報をSNSに投稿。
ちょっと気まずい系
- チケプラキャッシュ設定のミスで、最大322人に他人の会員情報が表示。
- ベネフィット・ワン他社の従業員情報1万3千人分をダウンロードできる状態に。実際に落としたのは1名。
- さくらインターネット販売管理システムに約3年間侵入され、初期パスワードの平文保存も判明。
- ローソン自社メールサーバーから不審な英文メールが約70万通。
受信箱チェック
漏洩した会社からあなた宛てのメールが届いていたら、その会社の会員の可能性があります。ボタンを押すと、あなたのGmailで該当する会社からのメールを検索します。
- 業種のボタンを押すとGmailが開いて検索される
- メールが出てきたら、その会社名を全件リスト（PART 03）で検索
- 個別ページの公式発表で、自分が対象か確かめる
Gmail以外（iPhoneのメール・Outlookなど）の人はこちら
メールアプリの検索欄に、会社名か送信元のドメインを1つずつ入れて探してください。
検索はあなたのGmailの中で行われます。このページから検索結果は見えず、何も送信しません。会社名で検索するので、宣伝メールなど関係のないメールが混ざることもあります。Googleアカウントを複数使っている人は、ブラウザで最初にログインしたアカウントが開きます。別のアカウントを調べるときは、開いたGmailの右上でアカウントを切り替えてから、もう一度ボタンを押してください。
AIに受信箱をまるごとチェックしてもらう
ボタンを1つずつ押すのが面倒な人は、AIにまとめて調べてもらえます。「漏洩チェック」スキルを入れて漏洩チェックしてと話しかけると、Gmailなどの受信箱を漏洩した会社の送信元で検索し、当てはまった会社と公式発表を一覧で返します。見るのは送信元と日付だけで、メール本文は開きません。
スキル（Claude版・Codex版）と入れ方は、すぐ下のLINEオープンチャットで配っています。
01
自分が関係ありそうか調べる
上の受信箱チェックで、漏洩した会社からのメールが届いていないかを見ます。使っているアプリや通販の名前を全件リストで検索するのも確実です。
メールアドレスが過去の漏洩に含まれているかはHave I Been Pwnedでも調べられます（海外の漏洩が中心）。
02
公式発表で対象か確かめる
日本の案件は各社の公式発表が一番確実です。個別ページの「公式発表を読む」から、自分が対象かを確かめてください。対象者にはお詫びメールも届きます。ただし「お詫び」や「確認のお願い」をうたうメール・SMSのリンクは開かず、公式アプリかブックマークから入ってください。漏洩のあとは、それを装った詐欺が増えます。
03
守りを固める
- パスワードを変える。そのサービスと、同じパスワードを使い回しているサービスも全部。二段階認証をオンに。iPhoneは設定 → パスワード → セキュリティに関する勧告、ChromeはGoogleパスワードマネージャー → パスワードチェックアップで、漏洩したパスワードを自動で見つけられます。
- カード情報が含まれていたら、カード会社に連絡して再発行。明細は月1回見ておくと早く気づけます。
- 使わないアプリは退会。会員データが狙われた一年です。眠っているアカウントは消しておくのが一番の守りです。
この白書のまとめ役
よそおいさん
マーケターのキャリア参謀
博報堂グループ 13年アクセンチュア 5年独立
マーケの仕事は、お客さんのデータを預かるところから始まります。漏洩のニュースは1件ずつ読むと他人事で終わりがちですが、100件以上を並べてみると「アプリの会員データが狙われる」「委託先から崩れる」といった今年の型が見えてきました。データを預ける側と預かる側、どちらにも役に立つようにまとめています。数字の間違いや追加してほしい案件があれば、Xで気軽に教えてください。
