個人情報の漏えい相次ぎ、個人情報保護委員会と統括室が事業者に注意喚起
個人情報保護委員会と国家サイバー統括室が、漏えいが相次ぐなか事業者に対策の点検を呼びかけ。公表内容と、カード・ポイント利用者の備えを分けて整理します。
公的機関・公式資料などの一次情報と照合して作成しています。このサイトについて
ニュースの概要
個人情報の漏えいが相次ぐなか、政府機関が事業者に向けて、対策を点検するよう呼びかけました。個人情報保護委員会は 2026年10月7日、「大規模な漏えい等事案を踏まえた対応について（注意喚起）」を公表しました。さらに内閣官房の国家サイバー統括室が 10月9日に、不正アクセスによる漏えいへの対策のポイントを示したと、Impress Watch が報じています。
どちらも宛先は事業者で、カードやキャッシュレスを使う一般の利用者に向けた文書ではありません。ただ、財布の中のクレジットカード、ポイント、決済アプリは、多くが事業者の預かる個人情報とつながっています。この記事では、公表された内容と、利用者が自分でできる備えを分けて整理します。JR東日本・ビューカードで情報漏えいの恐れ、偽メールに注意の記事もあわせて参照してください。
何が変わるのか
個人情報保護委員会の注意喚起（10月7日）
PDF の原文で確認できた内容は次のとおりです。
- 対象: 宛先は個人情報取扱事業者全般。特に、国民の多くが利用する事業で高いシェアを持つサービスや、顧客が事業者を指定しにくいサービスで大量の個人情報を持つ事業者、機微性の高い情報・財産的被害につながるおそれのある情報・詐欺に利用されるおそれのある情報を持つ事業者など、漏えいが起きたときに国民の権利利益を侵害する蓋然性が高い事業者に向けた内容
- 背景: 国民に広く普及し、大量の個人情報を扱う事業者が外部からの不正アクセスを受け、大量の個人データが漏えいした、または漏えいのおそれが生じた事案に、委員会が接していると説明している
- 技術的安全管理措置の見直し: ガイドライン（通則編）別添の「手法の例示」について、現代化を含めた見直しを予定している（令和8年9月16日の委員会で決議。内容の確定は 2027年4月の予定）。今回は、見直し予定の内容を先取りして示した
- 見直し後の技術的安全管理措置（別紙）に含まれる例: アクセス権限の最小化、同一パスワードの使い回しの原則禁止、組織外からのアクセスや管理者権限でのアクセス、重要な個人データへのアクセスでの多要素認証（フィッシングに耐性のあるものを含む）、ファイアウォールやセキュリティ対策ソフトの運用、通信の経路や内容の暗号化、ログの定期的な分析による不正アクセスの早期検知
- 不要になった個人データの消去: 個人情報保護法第22条に基づき、利用する必要がなくなった個人データを遅滞なく消去するよう努めることを、あらためて注意喚起している（努力義務で、法令で保存期間が定められている場合は除く）。対応が徹底されず、漏えいがより深刻化した事例にも接している、と書かれている
国家サイバー統括室の対策のポイント（10月9日）
Impress Watch の報道によると、国家サイバー統括室は 10月9日に、企業向けの対策ポイントを公表しました。主な内容は次の 3分野です（統括室の公表資料は直接確認できておらず、報道にもとづいています）。
- ウェブシステム等の適切な管理: 脆弱性が公表されたあと短期間で悪用されることがあるため、パッチなどを速やかに適用する。多要素認証の導入、管理者権限の最小化、不要なアカウントの無効化
- サプライチェーンを通じた侵害への対策: 防御の弱い企業（委託先など）を足がかりにする手口に注意し、再委託先を含めて対策状況を確認する。委託先への提供情報を必要最小限にし、業務終了後にデータを削除する
- データの適切な管理: 情報の所在、管理者、利用目的、保存期間を把握し、目的を終えた情報は削除する。保存データの暗号化、クラウドの公開設定とアクセス権限の確認
読者への影響
利用者への直接の義務や手続きの変更はありません。ただし、事業者が対策を見直すことで、サービス側の認証が厳しくなる可能性があります。たとえば、個人情報保護委員会の別紙には、従業者以外の者（利用者）の認証でも多要素認証を導入する例が挙がっており、ログイン時に多要素認証が求められる場面が増えることが考えられます。これは公表文書から読み取れる範囲の推測で、個別のサービスがどう対応するかは、各社の案内を見る必要があります。
なお、国家サイバー統括室も個人情報保護委員会も、不正アクセスによる漏えい事案を複数確認しているとしています。個別の事案の内容は、各社の公式発表で確認してください。
確認すること
ここからは、公表文書の内容ではなく、利用者が自分でできる一般的な備えです。
- 決済アプリやポイントサービス、カード会員サイトのパスワードを、使い回していないか見直す。使い回しをしている場合は、別々のものに変える。
- 多要素認証（ワンタイムパスコード、生体認証など）が選べるサービスでは、有効にする。
- カード会社や決済サービスの利用明細を、定期的に見る。覚えのない請求があれば、すぐに発行元に連絡する。
- 使っていないサービスの登録は、退会や削除を検討する。預けている個人情報を減らすことで、影響を小さくできる可能性がある（法令で保存が必要な情報は、退会後も残る場合がある）。
- 漏えいの発表に便乗した偽メール・偽 SMS に注意する。メールのリンクは開かず、公式アプリや、自分で登録したブックマークから確認する。
筆者の見解
今回の 2つの文書で興味深いのは、事業者に求める対策のなかに「データを持ちすぎない」という考え方が入っている点だと考えます。不要になった個人データの消去は、国家サイバー統括室の対策にも、個人情報保護委員会の文書にも出てきます。ただし、個人情報保護委員会の文書では消去は努力義務で、法令上の保存期間には例外があります。守る技術を高めるだけでなく、守る対象を減らすことも、漏えいの被害を小さくする手段だということです。
利用者側でも同じことが言えます。財布の中のカードやアプリは、便利さと引き換えに、預けている情報が増えやすいものです。使っていない決済手段やポイントを整理することは、地味ですが、自分でできる対策になると考えます。今回の資料から分かるのは事業者に求める対策までで、各社が実際にどう対応するかは分かりません。個別のサービスについては、各社の案内で確認してください。両機関が複数の事案を確認しているという点で、利用者にとっても他人事ではないと考えます。
出典
2026年10月11日時点の情報です。
本記事は情報提供を目的としています。価格・仕様・在庫は変更されることがあるため、購入前に必ず公式サイトでご確認ください。風水・縁起に関する内容は俗説であり、効果を保証するものではありません。