最近、個人情報漏えいが相次いでいる。公式発表を調べてみた
2026年10月のローソン、infoQ、JOGMECの公式発表を比較しました。漏えいの可能性と確認済みの事実、二次被害、続報で変わった件数を分けて読みます。
この記事の見出し
2026年10月、個人情報漏えいの公表が続いている。企業や公的機関の公式発表を3件読み比べると、同じ「個人情報漏えい」でも、確認された事実と調査の進み具合はかなり違っていた。
IPAは10月9日に注意喚起を出し、16日には被害を受けた、またはその可能性がある企業・組織向けの特別相談窓口を開設した。今回は、利用者が発表のどこを読めばよいのかを考えてみた。
公式発表3件を比較してみた
| 組織 | 公表日 | 分かったこと |
|---|---|---|
| JOGMEC | 10月2日 | 約8,500件のメールアドレスに漏えいの可能性 |
| ローソン | 10月8日（13日更新） | ローソンID 215万5,345件と、アプリ予約26件の漏えいを確認 |
| infoQ | 10月14日（第2報） | 89万4,082件の個人情報持ち出しと、ポイントの不正交換を確認 |
ここで気になるのは、件数の大きさだけではない。
ローソン：漏えいは確認、二次被害は未確認
ローソンの発表（外部サイト）では、ローソンIDのメールアドレスや氏名など215万5,345件が対象となった。登録状況によっては住所や電話番号も含まれる。別の「ローソンアプリ予約」では26件が対象となり、クレジットカード番号の一部も含まれていた。
一方、10月8日の発表（13日更新）では、今回の事案に起因すると考えられる不正利用や二次被害は確認されていないという。
「漏えいした」と「悪用された」は同じ意味ではない。 ただし、被害が確認されていないことは、今後も発生しないという保証ではない。
infoQ：最初の発表から件数が変わった
infoQの第2報（外部サイト）によると、10月5日の第1報では最大94万8,498件が対象とされていた。14日の第2報では、そのうち個人情報が外部に持ち出されたものを89万4,082件と確定している。残りには、個人情報を含まない記録や、持ち出されなかった情報が含まれていた。
さらに、交換件数611件、計286万9,500円分のポイントが、本人の意思によらずAmazonギフトコードに交換されていた。今回は二次被害も具体的に確認されている。
漏えい情報には暗号化されたパスワードも含まれ、運営会社は全会員のパスワードを無効化した。他のサービスで同じ、または似たパスワードを使っている場合には変更を求めている。原因は、サイトで使用していたソフトウェアの脆弱性が悪用されたと説明している。
最初の発表が、最終的な調査結果とは限らない。 これは数字の変化からも分かる。
JOGMEC：まだ「可能性」の段階
JOGMECの発表（外部サイト）は、役職員のメールアドレス約1,100件、外部のメールアドレス約7,400件について、漏えいの可能性があるとしている。
10月2日の発表時点では、不特定多数への公開や不正利用は確認されていない。原因も含めて調査が続いている。
3件とも不正アクセスに関係する事案だが、確認された事実も、調査の進み具合も異なっている。
では、何を確認すればいいのだろう
今回の発表を比較して、私が重要だと思ったのは3つ。
- 自分が対象なのか。 利用したことがあっても、必ずしも対象とは限らない。公式サイトの対象範囲や個別通知を確認したい。
- 何が漏れたのか。 メールアドレスだけなのか、住所や電話番号、パスワードも含まれるのか。必要な対応は情報の種類によって変わる。
- 続報は出ているか。 最初の発表では不明だった件数や原因が、その後の調査で判明することもある。
漏えい通知を装うメールにも注意したい
今回読んだ発表でも、企業が本物の通知メールを送る一方、なりすましの連絡への注意を呼びかけていた。国民生活センターも2026年9月3日、普段から利用している事業者を名乗るメールでもフィッシングを疑うよう案内している。
メール内のリンクをすぐには開かず、普段使っている公式アプリやブックマークから発表を確かめたい。具体的な対応は、個人情報漏えいのメールが届いたときの4つの確認手順にまとめた。
調べて思ったこと
利用者が気をつけていても、預けた先で起きる情報漏えいを完全には防げない。企業側の対策が重要であり、利用者も自分の情報がどう扱われたのかを知る必要がある。
今回の3件で印象に残ったのは、件数の大きさよりも、確認できていることと、まだ分からないことの違いだった。ニュースの見出しだけで判断せず、公式発表を開き、自分に関係する情報を確認する。それが、利用者としてできる現実的な一歩なのだと思う。
補足: 調査の対象と比較方法
調査基準日は2026年10月18日。上記3組織の公式発表と、公的機関の案内を比較した。独自の侵害調査や実機検証は行っていない。事案の発生率や前年比の増減を示す調査でもない。
表の日付は公表日であり、発生日ではない。JOGMECの約8,500件は、役職員約1,100件と外部約7,400件を足した概数。メールアドレス件数を、重複のない人数とはみなしていない。
infoQの第1報の件数は、第2報に掲載された比較表で確認した。89万4,082件＋個人情報を含まない記録9,068件＋持ち出されていなかった4万5,348件＝94万8,498件となる。611件はポイント交換の件数であり、被害者数ではない。
「未確認」は各発表に書かれた時点の状況であり、その後も被害がないと判断したものではない。3件の共通の攻撃者や原因も、この比較からは判断していない。
参照資料
いずれも外部サイト。2026年10月18日確認。
- ローソン：第三者による不正アクセスに伴う個人情報漏えいに関するお詫びとお知らせ — 2026年10月8日公表、13日更新。
- GMOリサーチ＆AI：当社が運営するアンケートサイト「infoQ」への不正アクセスによる個人情報漏えいに関するお詫びとお知らせ（第2報） — 2026年10月14日公表。
- JOGMEC：不正アクセスによる個人情報の漏えいの可能性に関するお詫びとご報告 — 2026年10月2日公表。
- IPA：不正アクセスによる漏えい等の事案を踏まえ、速やかに実施すべき対策等について — 2026年10月9日公表。
- IPA：不正アクセス特別相談窓口の開設について — 2026年10月16日公表。
- 国民生活センター：日頃利用している事業者からのメールもフィッシングを疑って — 2026年9月3日公表。