トップ ＞ テクノロジー

個人情報漏えい相次ぎ、保護委が多要素認証やEDRなど対策例を緊急提示

内容

何が起きたのか

個人情報保護委員会は10月7日、大量の個人情報を持つ事業者などに向けて、不正アクセス対策を求める注意喚起を出しました。来年4月に見直す予定のガイドラインに盛り込む新しい対策例を前倒しで示したものです。特に、機微性の高い個人情報や、詐欺などに悪用されるおそれのある個人情報を持つ事業者に対応を求めています。

漏えいはどこで、どのくらい起きているのか

9月以降、不正アクセスによる漏えいの公表が相次いでいます。報道によると、カーシェアサービスや大手焼肉チェーンなど数十社が漏えいを公表しました。損害保険会社など5社では、共通の委託先への不正アクセスで延べ71万件を超える個人情報が漏えいした可能性があります。このうち損害保険会社の分は約6万件とされています。旅行会社の子会社では、パスポート情報が最大627人分流出したおそれがあると公表されました。

このほか、クラウドストレージサービスで約1.5万アカウント分のデータが取得・閲覧されたおそれがあると報じられています。クラウドサービスへのランサムウェア攻撃では、495の企業・自治体に影響が出ました。民間の信用調査会社の集計では、上場企業による100万件以上の大規模漏えいが2026年だけですでに10件に上り、過去最悪のペースとされています。

なぜ相次いでいるのか

報道では、AIを使った高速な攻撃が背景にあるのではないかという識者の見方や、国家の関与を指摘する解説も出ています。ただし、一連の漏えいに共通する原因は、現時点で明らかになっていません。

保護委が示した対策の中身

対策例は、アクセス制御、認証、不正アクセスの検知など、法令で事業者に義務付けられた措置の項目ごとにまとめられています。

• 強い多要素認証：社外のネットワークからのアクセス、管理者権限でのアクセス、重要な個人データへのアクセスについて、FIDO2対応のパスキーのようにフィッシングに耐性のある多要素認証を導入する例が示されました。
• アクセス制御：アクセスのたびに場所や時間、端末のセキュリティ状態などを確認し、リスクに応じて許可するかどうかを判断する仕組みが挙げられました。組織が許可し、セキュリティ基準を満たした端末からだけ個人データに触れられるようにする方法も示されています。
• EDRなどによる検知：EDR（エンドポイント検知・対応）やIDS／IPS（不正侵入の検知・防止システム）で、不正アクセスやその兆候を早く見つける仕組みが例に挙がりました。侵害されたシステムの停止・隔離やアカウントの無効化など、被害を組織内に広げない対策も示されています。
• 個人データの消去：クラウド上のデータを消すときは、提供事業者が用意する方法や暗号化消去など、簡単に復元できない手段を使う例が示されました。あわせて、不要になった個人データの消去を改めて求めています。

保護委は、消去が徹底されていなかったために被害が大きくなった事例もあるとして、保管しているデータが本当に必要かを法令などの根拠とあわせて確認するよう呼びかけました。9月に大規模漏えいが分かったカーシェアサービスでは、退会後も約7年間、免許証情報を含む個人情報を保存していたため、退会者の情報にも被害が及んでいます。

保護委は参考資料「WARNING」も更新しました。「脆弱性への対応が遅れた事例」「不正ログインの事例」など9つの事例を取り上げ、それぞれの原因と対策例を解説しています。

費用や期限は

これらの対策を導入するのにかかる時間や費用は、現時点で明らかになっていません。対策例の元になるガイドラインは来年4月に見直される予定ですが、事業者がいつまでに対応しなければならないかは示されていません。

注目ポイント

カーシェアや飲食チェーン、旅行、保険など、多くの人が日常的に使うサービスで被害が出ているため、自分の情報も含まれているのではと身近な問題として受け止められています。退会した後もデータが残り、流出の対象になったケースがあることは、利用者にとって意外な点です。今後は、来年4月のガイドライン見直しで対策例がどこまで具体的に盛り込まれるか、また事業者が不要なデータの消去をどこまで徹底するかが焦点になります。

参考記事

• 漏えい相次ぐ中、保護委が対策を緊急例示 強い多要素認証やEDR導入、不要な個人データの消去などITmedia　2026年10月8日 11:49

ランキング登場履歴

この記事の内容に誤りを見つけた方は 情報の誤りを報告 からお知らせください。