個人情報の流出にユーザーはどう備える？　乗っ取りやクレカ不正利用を防ぐ「3段階」の対策ガイド

　2026年に入り、日常的に使う身近なサービスでの不正アクセスが相次ぎ、個人情報の漏えいが大きな問題となっています。目立つのは、サービス側のシステムが攻撃を受け、会員情報がまとめて流出するケースです。

【その他の画像】

　これはユーザー側では気を付けようがないというのが正直なところで、サービス側に対策を進めてもらう必要があります。とはいえ、漏えいした情報がパスワードの使い回しやフィッシングを通じて別の被害につながるかどうかは、ユーザー側の備えで変わります。

　本記事では、まず何が起きているのかを整理し、そのうえでユーザーが優先して取り組むべき対策をいくつか紹介します。

●相次ぐ情報漏えい、何が起きているのか

　東京商工リサーチの調査によると、上場企業とその子会社での漏えい件数が100万件以上の事案は、2025年が通年で6件だったのに対し、2026年は10月5日時点で既に10件に達しています。1000万件以上に限っても、2012年から2025年までの14年間で3件だったのに対し、2026年だけで3件発生しています。

　狙われているのは、特定の業界ではありません。カーシェアリング、外食チェーンの会員アプリ、通信事業者のメールサービスなど、日常的に使う身近なサービスが並びます。漏えいした情報も、氏名・住所・電話番号・メールアドレスのような基本情報が中心です。

　本人確認書類の画像まで流出した事案もあります。カーシェアリング「タイムズカー」を運営するタイムズモビリティは9月28日、退会者などを含む約660万件の会員情報の流出を確認したと公表しました。対象には運転免許証画像などの本人確認書類情報が含まれ、タイムズカーの告知によると、その数は約160万件に上ります。

　各社が公表している原因はさまざまで、侵入経路を調査中としている企業もあります。いずれにしても、サービス側からの流出そのものはユーザーには防げません。ユーザー側で防げるのは、流出した情報が悪用されたときの二次被害の拡大です。そして、その被害を広げる大きな要因が、ユーザー側のパスワードの使い回しと、フィッシングへの誘導です。

●漏えいが起きると、ユーザーに何が起きるか

　「企業が漏えいした」ことと「自分が被害に遭う」ことは、必ずしも直結しません。ですが、条件がそろうと次のような被害につながります。

リスト型攻撃（パスワードリスト攻撃）

　最も注意したいのがこれです。あるサービスから流出したIDとパスワードのリストを使い、他のサービスに同じ組み合わせでログインを試す攻撃を「リスト型攻撃」と呼びます。

　トレンドマイクロの2026年調査では、Webサービス利用者の84.3％が複数のサービスでパスワードを使い回していることが分かりました。重要度が低いと思っていたサービスの漏えいが、メールやSNS、金融系アカウントの乗っ取りにつながります。

フィッシングの材料になる

　氏名、勤務先、登録しているサービス名といった情報がそろうと、偽メールの精度が上がります。フィッシング対策協議会は、2025年度にはフィッシング報告件数が20万件を超える月があったとし、生成AIを使った自然な文章の偽メールが増えていると指摘しています。「日本語が不自然だから偽物」という見分け方は通用しなくなっています。

なりすまし、クレジットカードの不正利用

　漏えい情報そのものにクレジットカード番号が含まれていなくても、そこから得た情報をもとに他サービスへログインされ、登録済みのカードで買い物をされる可能性があります。本人確認書類の画像が流出した場合は、本人確認を突破してアカウントを乗っ取られる恐れもあります。

●ユーザーが行うべき「3段階」の対策

　対策は数多くありますが、全てを一度に行う必要はありません。「今すぐ行うもの」「日常で習慣にするもの、」「漏えいのお知らせが来たときに行うもの」の3段階に分けて紹介します。

A 今すぐやる（事前の備え）

1.パスワードの使い回しをやめる

　効果が高い基本の対策です。パスワードはサービスごとに変え、できるだけ長く複雑にします。サービス側で元に戻せない形式（ハッシュ化）で保存されていても、短く単純なパスワードは総当たりで割り出される恐れがあるためです。

　全てのサービスでパスワードの使い回しをやめるのが理想ですが、すぐに全てを変えるのは難しいでしょう。まずはメール、SNS、通販、金融系など、乗っ取られたときの影響が大きいサービスから着手するとよいでしょう。

2.2段階認証（多要素認証）を有効にする

　パスワードに加えて、登録したスマートフォンでの確認や生体認証などを組み合わせてログインする仕組みです。IDとパスワードが漏えいしても、これらがないとログインできないため、リスト型攻撃の多くを防げます。

　ただし、2段階認証も万能ではありません。偽サイトでIDとパスワードに加えてSMSなどの認証コードまで入力させ、それを使って即座に本物のサイトへログインする「リアルタイムフィッシング」では突破されることがあります。この弱点を補えるのが、次のパスキーです。

3.パスキーが使えるなら設定する

　パスキーは、パスワードの代わりに指紋認証や顔認証、端末のロック解除機能を使ってログインする仕組みです。サービス側に保存されるのは照合用の「公開鍵」だけなので、サービス側から情報が漏えいしても、ログインに使える情報は流出しません。

　偽サイトでは認証が成立しないため、フィッシングに強い点も特徴です。主要なOS、ブラウザ、サービスでの対応が広がっており、携帯キャリアや検索大手、金融系でも利用できるサービスが増えています。

　ただし、パスキーを設定してもパスワードでのログインが残っているサービスでは、パスワード側のリスクも残ります。パスワードログインを無効にできるサービスなら無効にし、できない場合はパスワードを長く固有のものにしておきましょう。

　また、機種変更やスマホの紛失・故障などでパスキーを設定した端末が手元にない状況では、サービスにログインできなくなることもあります。iCloudキーチェーンやGoogleパスワードマネジャーで同期されるパスキーは、同じ系列の機種への変更なら引き継げますが、端末に固定されたパスキーの場合や、AndroidとiPhoneをまたいで乗り換える場合は注意が必要です。導入時は復旧方法を確認しておくと安心です。

4.パスワードマネジャーを導入する

　長く複雑なパスワードをサービスごとに設定して覚えておくというのは現実的ではありません。パスワードマネジャー（パスワード管理アプリ）を使えば、サービスごとに異なる複雑なパスワードを生成・保存し、入力も自動化できます。

　1Passwordなどの有料アプリの他、GoogleパスワードマネジャーやAppleパスワードなど無料で利用できるものもあります。まずは自身の環境に合ったものを試してみてください。

B 被害に遭わないために日常的に行うべき習慣

1.リンクをタップせず、公式アプリやブックマークからアクセスする

　フィッシング対策の基本は、メールやSMSのリンクをタップしないことです。金融機関などのID・パスワードを入力するページには、ブックマークか、Google PlayやApp Storeから入手した公式アプリでアクセスするようにしましょう。

　真偽の判断が難しいメールやSMSが来たら、記載されたURLや電話番号は使わず、公式アプリや公式サイトで確認します。リンク先で情報を入力したり、アプリをインストールしたりしなければ、基本的に被害は発生しません。

2.ドメイン名を確認する

　偽サイトは、アルファベットの「o」を数字の「0」に、「I（大文字アイ）」を「l（小文字エル）」に置き換えるなどして、URLを本物に見せかけてきます。ドメイン名が正しいかを確認する習慣をつけましょう。

3.ログイン通知と利用履歴を小まめに確認する

　身に覚えのないログイン、購入履歴、投稿がないかを時々確認します。SNSや通販、金融系アプリの多くは、不審なログインを通知する設定を備えています。これらを有効にしておくと、早期発見につながります。

C 漏えいのお知らせが来たら

　漏えいが起きると、それに便乗して「情報漏えいのお知らせ」を装ったフィッシングメールが増えます。お知らせが届いたら、まずはBの習慣通り、公式アプリや公式サイトの「お知らせ」欄に同じ内容が掲載されているかを確認してください。企業がメールでパスワードやクレジットカード番号の入力を求めることは通常ありません。以下の手続きは、本物と確認できてから進めます。

1.該当サービスのパスワードを変更する

　公式アプリや公式サイトの設定画面から、該当サービスのパスワードを変更します。

2.同じパスワードを使っていた他サービスも変更する

　漏えいしたパスワードを使い回していた場合、その他のサービスも同じタイミングで変更します。被害の拡大を防ぐための措置です。

3.クレジットカードを登録していたら、利用明細を確認する

　クレジットカードの情報が漏えいした可能性がある場合には、利用明細に身に覚えのない請求がないか確認し、不安があればカード会社に相談します。

4.本人確認書類の画像が流出した場合は「本人申告」を検討する

　運転免許証の画像など、本人確認書類の画像が漏えいに含まれていた場合は、パスワード変更だけでは対処できません。現物が手元にあっても、画像がなりすましによるクレジットカードの発行やローン契約に使われる恐れがあるためです。この場合に有効なのが、信用情報機関への「本人申告」です。

　信用情報機関はクレジットやローンの審査の際に参照されるため、注意喚起のコメントを登録しておくと、加盟会社に慎重な判断を促せます。JICCの場合、現物は手元にあり画像が流出したケースは「名義の悪用防止」の区分になります（紛失・盗難とは区分が異なります）。ただし、本人申告は不正利用を100％防ぐものではありません。また、全国銀行個人信用情報センターは、預金口座の開設時には照会しないとしています。

・申告先：JICC、CIC、全国銀行個人信用情報センター

・登録期間（JICCの場合）：登録日から5年間（本人の申出で削除可能）

・申込者（JICCの場合）：満15歳以上の本人のみ（代理人不可）

・手数料の例：JICCのスマホアプリ申込は700円（税込）、全国銀行個人信用情報センターのインターネット申込は500円

　3機関は互いに情報を共有していますが、共有の範囲は各機関の案内からは明確に読み取れないため、確実を期すなら3機関全てに申告しておくと安心です。タイムズカーの流出後は申し込みが集中したと報じられており、JICCでは受付の一時停止や処理の遅れも生じました。最新の受付状況は各機関の公式ページで確認してください。

5.不安が残る場合は相談する

　不審な点があれば、各サービスの窓口の他、個人情報保護委員会、警察相談専用電話「#9110」、消費者ホットライン（188）などに相談できます。クレジットカードの不正利用が疑われる場合は、カード会社への連絡を優先します。

●まとめ：まず取り組みたい3つの対策

　サービス側からの漏えいはユーザーには防げませんが、漏えいした情報による二次被害は備えで減らせます。まずは、重要なサービスからパスワードの使い回しをやめること、2段階認証やパスキーを有効にすること、漏えいのお知らせはリンクではなく公式アプリや公式サイトで確認すること、の3つから始めてみてください。

　これからサービスを選ぶ際も、2段階認証やパスキー、ログイン通知に対応しているかを判断材料にすると、結果的に安全度は高くなります。