「個人情報が漏えいしました」と通知が来たら——二次被害を防ぐためにすぐやることと、企業に求められること

こんなニュースがありました

サイバー攻撃による企業からの情報漏えいが急増していると報じられています。攻撃の手口が高度になり、短時間で広い範囲に被害が広がるおそれが指摘されているほか、漏えいした情報を使って会員のポイントが不正に交換されるといった「二次被害」も出ているといいます。

実際に2026年10月には、あるアンケートサイトで、会員のポイントが本人の知らないうちにギフトコードに交換される被害が611件、約287万円分確認されたと報じられました。運営会社は全額を補填するとしています。

ニュースの背景を解説

2026年に入って増える漏えい

企業は、一定の個人情報の漏えいが起きると、国の個人情報保護委員会に報告しなければなりません。委員会によると、2026年4〜6月の3か月に処理した漏えいの報告は6,101件で、前年の同じ時期の5,652件を上回りました。このうち、不正アクセスなど不正な目的によるものは1,450件（前年同期は1,136件）に増えています。

個人情報保護委員会は2026年10月7日、大量の個人情報を扱う事業者が不正アクセスを受けた事案が相次いでいるとして、事業者に注意を呼びかけました。情報処理推進機構（IPA）も、盗まれた情報が脅迫や不正な売買などの二次被害に使われる傾向が強まっていると警告しています。攻撃者によるAIの悪用についても、警察庁などが、攻撃がより速く、大規模になるおそれを指摘しています。

盗まれた情報は、どう使われるのか

漏えいした情報は、次のような形で悪用されるおそれがあります。

• 盗まれたIDとパスワードで、ほかのサービスにログインされる（パスワードを使い回していると、被害が広がる）
• ポイントやギフトコード、登録したクレジットカードを不正に使われる
• 漏えいした企業を名乗る「お詫び」のメールやSMSで、偽のサイトに誘導される
• ダークウェブなどで売買され、詐欺の標的リストとして使われる

警察庁も2026年10月、情報が流出した企業をかたる偽のメールの可能性があるとして、メール内のリンクを安易にクリックしないよう呼びかけています。

注意点・弁護士の見解

通知が来たら、すぐやること

漏えいの通知には、漏えいの概要、漏れた項目、原因、二次被害のおそれなどが書かれています。まず、自分のどの情報が漏れたのかを確認したうえで、次のことをしてください。

• そのサービスのパスワードを変更する。同じパスワードをほかのサービスでも使っていれば、そちらもすぐに変更する
• 二段階認証（多要素認証）が使えるサービスでは、設定しておく
• クレジットカードの利用明細や、ポイントの残高・交換履歴を確認する。身に覚えのない利用があれば、すぐにカード会社やサービスに連絡する
• 「お詫び」や「補償」をうたうメール・SMSのリンクは押さず、企業の公式サイトから情報を確かめる

クレジットカードの不正利用の補償は、各カード会社の規約で決まります。届け出から一定の期間（60日程度が多いとされます）より前の利用は補償されないことがあるため、早めの確認と連絡が大切です。困ったときは、警察相談専用電話「#9110」や各都道府県警察のサイバー犯罪の相談窓口、消費者ホットライン「188」に相談できます。

通知が来ないこともある

企業に本人への通知が義務づけられているのは、病歴などの配慮が必要な情報が漏れた、お金の被害が出るおそれがある、不正アクセスなど不正な目的による、1,000人を超える、のいずれかにあたる場合です。また、連絡先が分からない場合などは、通知の代わりにホームページで公表すればよいとされています。

さらに、2026年7月に成立した改正個人情報保護法では、本人の権利を害するおそれが少ない場合に、この通知の義務を緩める予定です（施行はこれからです）。利用しているサービスで漏えいが報じられたら、通知を待たずに、企業の発表を自分で確認することも必要になります。

企業に求められること

個人情報保護法は、本人が企業に対して、次のことを求められると定めています。

• 自分について企業が持っているデータの開示（33条）
• 内容が事実と違う場合の訂正（34条）
• 漏えいが起きた場合などの、データの利用の停止や消去（35条5項）

企業が応じない場合は、請求してから2週間がたてば、裁判所に訴えることもできます。また、個人情報保護委員会の「個人情報保護法相談ダイヤル」（03-6457-9849）に相談し、企業との間のあっせんを頼むこともできます。ただし、あっせんでお金の賠償や謝罪を求めることはできません。

損害賠償の現実

漏えいした企業に損害賠償を求めることはできますが、これまでの裁判では、1人あたりの賠償額は数千円程度にとどまることが多いのが現実です。

• 通信教育会社から子どもや保護者の情報が大量に漏えいした事件：最高裁はプライバシーの侵害を認めて審理をやり直させましたが、その後の判決では1人1,000円。同じ漏えいをめぐる別の裁判でも、1人2,000〜3,300円でした
• エステ会社のウェブサイトから個人情報が漏えいした事件：迷惑メールなどの二次被害を立証した人には、慰謝料3万円と弁護士費用が認められました

判決は、実際の被害が出ていないこと、企業がすぐに被害を広げない措置をとったこと、お詫びの金券（500円相当）を配ったこと、氏名や住所はそれほど秘密性が高くないことなどを、慰謝料を低くする事情として挙げています。大規模な漏えいでは、集団訴訟の参加者を募る動きも報じられていますが、まずは二次被害を防ぐことが何より大切です。

漏れた情報がネットにさらされたら

漏えいした情報が、掲示板やSNSに書き込まれることもあります。その場合は、サイトの運営者に削除を求めることができます。利用者の多い大手のSNSなどは、情報流通プラットフォーム対処法により、削除の申し出を受けたら原則7日以内に対応の結果を通知することが義務づけられています。検索結果からの削除は、より厳しい基準で判断されます（最高裁平成29年1月31日決定）。

個人情報の漏えいの被害に、弁護士ができること

• ネットにさらされた個人情報の削除を求め、書き込んだ人の特定を目指します
• 損害賠償を請求できるか、見込める金額と費用のバランスを含めて、見通しをご説明します

1人あたりの賠償額が小さい事案では、費用倒れにならないかも含めて率直にお伝えします。まずはお気軽にご相談ください。

まとめ

サイバー攻撃による情報漏えいが増え、ポイントの不正交換や偽のお詫びメールといった二次被害も出ています。漏えいの通知を受け取ったら、漏れた項目を確認し、パスワードの変更と使い回しの解消、二段階認証の設定、明細の確認をすぐに行いましょう。企業にはデータの開示や利用の停止を求めることができますが、損害賠償は1人あたり数千円程度にとどまることが多く、二次被害を防ぐことが何より大切です。

漏れた情報がネットにさらされた、不正利用の補償で企業と話がつかないといった場合は、アークレスト法律事務所にご相談ください。

※本コラムは2026年10月中旬時点の情報に基づいています。

監修者

山下 晃生 弁護士

第二東京弁護士会所属（登録番号：58233）

岡山県立岡山朝日高校卒業、中央大学卒業、明治大学法科大学院修了。

平成29年司法試験に合格、平成31年1月に弁護士登録し（71期）、神奈川県の法律事務所に入所。離婚問題を主に取り扱う。

令和2年3月に弁護士法人アークレスト法律事務所に入所し、その後ネットトラブル及びオフィスの原状回復請求減額交渉を中心に幅広く関わる。

ゲーム・アニメ・同人文化にも明るい。