「また漏えいのニュース…うちが使っているサービスも入っている？」
2026年9月から10月上旬にかけて、こう感じた方は多いのではないでしょうか。カーシェア、外食チェーンのアプリ、旅行予約サイト、通販、求人サービス、画像共有サービス。日常的に使うサービスで、大規模な個人情報漏えいの公表が立て続けに起きました。
10月8日にはJPCERT/CCが複数の国内組織で相次ぐ不正アクセスへの注意を呼びかけ、翌9日にはIPA（情報処理推進機構）も注意喚起を公表しています（IPA、JPCERT/CC）。
我が家も、アカウントを持っているサービスがありますが、何の連絡もないので、大丈夫なのか、処理がおいつていなくて連絡が来ていないだけなのか、モヤモヤしながら過ごしています。
ただ、ニュースの見出しだけを追っていると「とにかく怖い」で終わってしまいますので、一度冷静になって一次資料（各社の公式発表）を読み比べてみると、同じ「漏えい」でも中身はまったく違うことが分かります。
この記事は全3回シリーズの第1回です。今回は、主な事案を整理したうえで「ニュースの数字をどう読むか」をお話しします。
- 第1回（本記事）：何が起きたのか、数字の正しい読み方
- 第2回：流出した情報の種類別にやるべき対策
- 第3回：免許証画像が漏れたときの「本人申告制度」
1. 2026年9〜10月に公表された主な個人情報漏えい
まずは主な事案です。公表日は「攻撃が起きた日」ではなく、初報・続報が出た日です。
| 公表日 | 企業・サービス | 公表された規模・情報 | 公表上の状態 |
|---|---|---|---|
| 9/15 | ムラウチドットコム | 約771.7万件。氏名・住所・連絡先等 | 持ち出しを確認 |
| 9/16・9/25 | Gyazo（Helpfeel） | 約2,362万件のユーザー関連データ、画像メタデータ等 | 漏えい確認 |
| 9/25〜9/29 | タイムズカー | 約660万アカウント。うち約160万アカウントで運転免許証画像等 | 取得・漏えい確認 |
| 9/29〜10/5 | セイコーマートアプリ | 会員情報約57万件規模 | 不正閲覧確認 |
| 10/5 | 焼肉きんぐ公式アプリ | 10,788,963件。会員番号、登録名、メール、電話番号 | 漏えい確認 |
| 10/5 | infoQ（GMOリサーチ＆AI） | 最大948,498件。ポイントの不正交換611件も確認 | 持ち出し・不正交換確認 |
| 10/6 | MrMax | 最大1,735,154人。会員ID、氏名、メール、電話番号 | 一部流出確認（人数は最大対象数） |
| 10/6 | 楽天ドライブ | 管理用認証情報の一部が不正取得され、保存情報へアクセス | 取得・閲覧確認 |
| 10/8 | ローソンID | 2,155,345件。メール、氏名、登録状況に応じて連絡先・住所等 | 漏えい確認 |
| 10/8 | 第一興商（ビッグエコー等） | 委託先端末のマルウェア感染。約872万件規模が影響するおそれ | 実際の外部流出は未確認 |
| 10/9 | skyticket | 約1,464万件。うち約413万件にハッシュ化パスワード | 流出確認・一部おそれ |
| 10/9 | ブックオフ | 最大約643万件の会員情報 | 漏えい公表（最大対象件数） |
| 10/9 | Commune／Commune for Work | 推計約30.7万人のコミュニティ会員情報 | 一部漏えい確認 |
2026年10月11日時点の各社公式発表等をもとに作成。件数は続報で変わる可能性があります。各社の発表は記事末尾の出典からご確認ください。
このほかにも、9月だけでデジタル庁のGSS、大学、自治体の採用試験システム、ホテルの予約管理システムなど、民間・公的機関を問わず数十件の公表がありました（TMIプライバシー＆セキュリティコンサルティングの9月集計）。
2. 「件数」は「被害者の人数」ではない
ここからが本題です。上の表を見て「合計すると数千万人分が漏れた」と考えるのは、統計の読み方としては誤りです。
理由は3つあります。
- 単位がバラバラ：「件」「人」「アカウント」「レコード」は同じではありません。1人が複数アカウントを持っていたり、1人分のデータが複数レコードに分かれていたりします。
- 重複がある：同じ人が複数のサービスを使っていれば、重複して数えられます。
- 「最大」の数字がある：MrMaxやブックオフのように「最大◯件」とある場合、それは対象になり得る上限で、確定した流出数ではありません。
たとえばGyazoの「約2,362万件のユーザー関連データ」は、必ずしも同数の実人数や、画像ファイルそのものの流出を意味しません（Gyazo 第2報）。
研究の世界では、単位の異なる数値を足し合わせることはまずやりません。ニュースの数字も同じで、「何の単位で、何を数えたか」を確認するのが第一歩です。
3. 「漏えい確認」と「漏えいのおそれ」は別物
もう一つ大事なのが、公表上の状態です。
- 「不正アクセスを受けた」
- 「情報が外部に持ち出されたことを確認した」
- 「漏えいした可能性がある」
これらは同じ意味ではありません。
象徴的なのが第一興商の事案です。委託先端末のマルウェア感染で約872万件規模の顧客情報が影響するおそれがあるとしつつ、実際の外部流出は確認されていないと公表しています（第一興商 公式発表）。
逆に、infoQのように実際にポイントの不正交換まで確認されたケースもあります（infoQ 公式発表）。
「件数が多い＝危険」ではなく、「何が、どの段階まで確認されたか」で深刻度を見る。これがニュースに振り回されないコツです。
4. 委託先・共通サービスが被害を広げる
今回の一連の事案でもう一つ見えてきたのが、「共通の基盤」が狙われると被害が一気に広がるという構造です。
会員管理、予約管理、メール配信、採用管理、問い合わせ管理、コミュニティ運営。こうした業務は、多くの企業が同じ外部サービス（SaaS）や委託先に任せています。
たとえばCommuneの事案では、Communeを使って企業ごとに運営されていたコミュニティの会員情報に影響が出ました。家電、住宅設備、食品メーカーなど、名前を聞けば誰もが知る企業のコミュニティも含まれています（Commune 公式発表）。
ただし注意したいのは、これは参加企業の全サービス・全顧客情報が漏れたという意味ではないことです。Commune全体の漏えい会員数は推計約30.7万人で、個別コミュニティの人数を足し上げるのも誤りです。
つまり利用者側から見ると、「自分は◯◯社と直接契約しているだけ」でも、その裏にある委託先経由で情報が出ていく可能性があるということ。自分のパスワード管理がどれだけ完璧でも、企業に預けた情報そのものは守れない。ここは割り切りが必要です。
5. 「AIのせいで漏えいが増えた」はどこまで言える？
最近は「AIで攻撃が高度化して漏えいが増えている」という論調もよく見かけます。
確かにAIは、詐欺メールの日本語を自然にしたり、攻撃の一部工程を効率化したりするのに使われ得ます。しかし、この期間に公表された事案をすべてAI起因とみなす根拠はありません。公表されている侵入経路は、脆弱性の悪用、認証情報の不正取得、委託先端末へのマルウェア感染、誤設定、誤送信など、実にさまざまです。
原因を一つに決めつけるより、どんな経路で漏れても効く「個人側の防御」を整えるほうが、家庭にとってはずっと実用的です。
まとめ
- 2026年9〜10月、カーシェア・外食・旅行・通販など身近なサービスで漏えい公表が相次いだ
- 「件」「人」「アカウント」は別の単位。企業をまたいで合計してはいけない
- 「漏えい確認」と「おそれ」は別物。何がどの段階まで確認されたかを見る
- 委託先・共通SaaSの侵害で複数社に被害が波及する構造がある
- 利用者にできるのは、「漏れても重大被害にしない」備え
では、具体的に何をすればいいのか。次回は、**流出した情報の種類別に「本当に優先すべき対策」**を整理します。
→ 第2回：個人情報が漏えいしたらまず何をする？情報の種類別・優先度つき対策
秋は家計の見直しの季節でもあります。お金まわりの総点検とあわせて、アカウントの点検もしておくと効率的です→10月に乗り遅れるな——共働き子育て世帯が「9月中」にやるべき家計総点検リスト