相次ぐ情報漏洩、その裏で何が起きているのか― パソコン博士TAIKI氏の解説を、報道で確かめながら読む

記録　｜　セキュリティ　｜　2026年10月23日

相次ぐ情報漏洩、その裏で何が起きているのか

この秋、企業や役所からの情報漏洩が止まりません。パソコン博士TAIKI氏の解説動画を手がかりに、報道で確かめられる事実と、まだ推測の段階にある話とを分けて整理します。

1か月半で1億件を超えた漏洩

TAIKI氏の集計では、9月から10月前半に漏洩を公表した企業の件数を合わせると、約1億1481万件にのぼります。ただし各社の数字には「可能性」や「最大」の件数が含まれ、実際の人数とは一致しません。主な事案を各社の発表で確かめると、次のとおりです。

このほか、焼肉きんぐ、ヤマト運輸、佐川急便など、業種を問わず流出のおそれが相次いでいます。

免許証画像の流出はなぜ深刻か

中でも重いのが、タイムズカーの免許証画像約160万件です。免許証は身分証明書として通用するため、勝手にクレジットカードを作られる、携帯電話を契約されるといった「なりすまし」に使われかねません。

TAIKI氏が特に恐ろしいとするのは「時間差攻撃」です。報道では、コンビニのコピー機に免許証を置き忘れた男性が、7年後にその免許証で携帯電話を契約された例が紹介されました。いま被害がなくても、何年も先に悪用されるおそれが残るということです。

さらに問題となったのが保存期間です。共同通信の取材によれば、同社は免許証画像を「退会から7年」保存する設定にしていました。個人情報保護法は、不要になったデータを速やかに消去するよう努めることを求めています。

TAIKI氏はこれを、コンビニの「レジ締め」にたとえます。売上金をレジに貯め込む店はなく、一日の終わりには金庫へ移します。免許証画像が必要なのは最初の本人確認のときだけです。確認が済んだら、ネットから切り離した場所へ移すべきだった、という指摘です。

攻撃の裏にAIはあるのか

TAIKI氏は、一連の攻撃に「ローカルAI」が使われている可能性が極めて高いと見ています。ただし、これは同氏自身も断るとおり、証拠のある話ではありません。

ローカルAIとは、無料で公開されているAIの模型を自分のパソコンに入れて動かすものです。それ自体は悪い道具ではなく、外部に情報を出さずに使えるため、企業にも導入が進んでいます。問題は、危険な依頼を断る「止め金」を外した改造版が出回っていることです。

この点は裏付けがあります。Anthropic社は9月29日、中国のZhipu AIが公開した「GLM-5.3」の分析を発表しました。このモデルは攻撃用のプログラムを組む高い能力を持ちながら、公開から数日のうちに止め金を外した版が複数出回りました。簡単な手口でも、安全対策を最大100％の確率で回避できたといいます。

一方で、今回の漏洩でAIが使われたと確認された事案はありません。侵入の入り口が公表された事案は、いずれもシステムの脆弱性を突かれたものです。「AIによって脆弱性の発見が容易になった」という構図は説得力がありますが、個々の事案については、まだ推測の域を出ないと読むのが妥当です。

守る側もAIを使う時代

TAIKI氏の結論は明快です。攻撃側がAIを使うなら、守る側もAIを使い、攻撃される前に自社の穴を見つけて塞ぐべきだというものです。AIは休みなく働き続け、性能も上がり続けます。対策が遅れた企業ほど被害が広がるという見立てです。

防御のためのAIとして注目されているのが、Anthropic社の「Claude Mythos」です。脆弱性を見つける能力が高すぎるため、提供先は限られています。日本では6月、政府と複数の金融機関に利用が認められたと片山金融担当相が明らかにしました。

では、一般の企業はどうすればよいのか。TAIKI氏は、ローカルAIを防御に生かす道を示しつつ、会社を守る目的なら専門業者に依頼するよう勧めています。自前で中途半端に手を出すことの危うさを、よく踏まえた助言だと思います。

「自分の情報は自分で守る」発言をどう読むか

10月6日、古川俊治デジタル大臣は定例会見で、相次ぐ流出を受けて国民に対策を呼びかけました。このうち「自分の情報は自分で守る」という趣旨の部分が報じられると、「企業が漏らしたのに、個人にどう守れというのか」という批判がSNSで相次ぎました。

TAIKI氏も最初は無責任だと感じたといいます。しかし会見全体を見ると、大臣は企業にも対策を求めており、個人向けの部分が強く切り取られた面があります。大臣が示した対策は、パスワードの使い回しをやめる、多要素認証を設定する、不審なメールやSMSのリンクを開かない、の三つです。

漏洩そのものは個人には防げません。しかし、漏れた後に二次被害を防ぐことはできます。大臣が言いたかったのはこの点だろう、というのがTAIKI氏の読みです。

個人がいますぐできる三つのこと

一、パスワードの使い回しをやめる
犯人は漏れたメールアドレスとパスワードで、楽天やAmazon、Googleなど他のサービスにもログインを試します。TAIKI氏が紹介する調査では、日本人の85％が使い回しているといいます。同じパスワードを使っているものは、早く変えるほど助かる確率が上がります。

二、多要素認証を設定する
パスワードに加え、スマホに届く確認コードなどで本人確認を重ねる仕組みです。パスワードが漏れても、それだけでは入れなくなります。

三、「漏洩のお知らせ」メールのリンクを踏まない
騒動に便乗し、「情報が漏洩しました。今すぐパスワードを変更してください」といった偽メールが出回っています。パスワードの変更は、メールではなく、自分で公式サイトを開いて行います。

企業の責任を問いにくい法制度

TAIKI氏が大臣の発言で最も違和感を覚えたのは、漏らした企業の責任をどう問うのかが見えない点でした。個人情報保護法は安全に管理するよう求めていますが、具体的なやり方はガイドラインの例示にとどまり、多くを企業の判断に委ねています。

2026年7月に成立した改正個人情報保護法では、違反した企業から金銭を徴収する課徴金制度が新設されました。しかし、安全管理の義務違反はその対象から外されました。サイバー攻撃で情報を漏らしても、原則として課徴金はかからないということです。

EUの一般データ保護規則（GDPR）と比べると、差は歴然としています。GDPRでは安全管理の義務に違反すると、最大1000万ユーロか年間売上高の2％のうち高い方、より重い違反では最大2000万ユーロか4％のうち高い方が制裁金の上限です。

TAIKI氏は、国が明確な基準を示し、守れない企業には罰則や営業停止を科すくらいの厳しさが要ると訴えます。そうした企業には、そもそも個人情報を集めさせないという考え方です。

そのデジタル庁自身も、6月25日に不審なアクセスを検知しながら、公表は9月11日でした。日本のデジタル政策の司令塔でさえ防げなかった以上、中小企業はなおさら慎重に個人情報を扱う必要がある、とTAIKI氏は締めくくっています。

結び

預けた情報が漏れるのを、個人が止めることはできません。それでも、漏れた後の備えは自分でできます。一方で、情報を集める側の責任を曖昧にしたままでは、同じことが繰り返されます。個人の備えと、企業と国の責任。その両方がそろって、初めて安心して情報を預けられる社会になるのだと思います。

なお、TAIKI氏は個人向けのおすすめの設定を次回の動画で紹介するとしています。

◆ 出典

・パソコン博士TAIKI｜情報漏洩の解説動画（YouTube）

・タイムズカー｜不正アクセスに関する調査結果（第3報）

・共同通信｜タイムズカー、情報保護法を軽視

・INTERNET Watch｜Gyazoに不正アクセス

・SmartScope｜情報漏洩・不正アクセスの企業一覧（2026年9月〜10月）

・INTERNET Watch｜GSSに不正アクセス、約24.6万件が漏えいの可能性

・PC Watch｜Mythos並みのサイバー攻撃能力を持つGLM-5.3にAnthropicが警鐘

・nippon.com（時事）｜日本政府・銀行にMythosの利用を許可

・古川デジタル大臣の10月6日会見の整理

・長島・大野・常松法律事務所｜令和8年個人情報保護法改正法案 課徴金制度の導入

AIと人の創作の関係については、UCA（新しい知財の構想）として提言をまとめています。▶ 提言を読む

記事の正本は記録サイトにあります。▶ 記録の一覧へ

#情報漏洩　#サイバー攻撃　#タイムズカー　#パスワード　#多要素認証　#個人情報保護法　#AIとセキュリティ　#パソコン博士TAIKI

生かされて今を存在する