情報漏洩のお知らせが届いたら：まずやること

利用しているサービスから「個人情報が漏洩した可能性があります」というお知らせが届くことがあります。驚いて、すぐにリンクを押したくなる場面です。しかし最初にすべきことは、そのお知らせが本物かどうかを、別の経路で確かめることです。

このページでは、公的機関が公表している案内に沿って、通知を受け取ってからの流れを整理します。個別の事案の内容は、それぞれの企業の公式な発表で確認してください。

最初の確認：そのお知らせは本物か

漏洩の通知を装う偽のメールやSMSがあります。警察庁のフィッシング対策ページは、送信元の名称やメールアドレスは偽装が簡単だと説明しています。リンクの偽装も容易で、正規サイトに似たドメインの偽サイトも多いとのことです。

そのため、本文の見た目で判断せず、次の順で確認します。

1. メールやSMSのリンクは開かず、添付ファイルも開かない。
2. ブックマークに登録した公式サイト、または公式アプリを自分で開く。
3. 公式サイトのお知らせ欄に、同じ内容の発表があるか確認する。
4. 発表が見つからないときは、公式サイトに載っている窓口に問い合わせる。メッセージ内の連絡先は使わない。

警察庁は、公式サイトを前もって登録しておき、ブックマークや公式アプリから入ることを勧めています。偽サイトに誘導される可能性を減らせるためです。

「不正アクセスを検知した」「取引を停止する」のように急がせる文面は、典型的な手口として挙げられています。通知が本物でも偽物でも、慌てて入力する必要はありません。

無料で公開情報を確認する

通知に書かれていることを読む

本物の通知であれば、通常は何が起きたのかが書かれています。次の点を、メモしておくと後の対応が楽になります。

• いつ、どのような経緯で漏洩が分かったのか
• 対象になった情報の種類（氏名、住所、メールアドレス、パスワード、カード番号など）
• 自分が対象に含まれるのかどうか
• 企業が用意した問い合わせ窓口
• 企業が利用者に求めている対応

どの情報が含まれるかで、優先する対応が変わります。パスワードが含まれるなら変更が先です。カード番号が含まれるなら、カード会社への連絡が先です。

通知に「対象かどうか分からない」と書かれている場合は、無理に推測せず、公式の窓口で確認します。

今すぐできること：パスワードと認証

通知を確認できたら、アカウントを守る作業に移ります。警察庁のページは、IDとパスワードの扱いについて次の点を挙げています。

• 複数のサイトで同じIDとパスワードを使わない。一か所で漏れると、他のサービスも乗っ取られるおそれがある。
• 覚えきれない場合は、パスワード管理アプリを使う。
• パスワードに加えて、メールやSMSで届くワンタイムパスワードの入力が必要なサービスがある。指紋や顔認証を併用すると、さらに安全になる。

実際の手順は、次の流れが目安です。

1. 漏洩したサービスのパスワードを、公式サイトからログインして変更する。
2. 同じパスワードを使い回しているサービスを洗い出し、順に変更する。
3. 変更後のパスワードは、サービスごとに別のものにする。
4. 二段階認証や多要素認証が使えるサービスでは、設定する。

総務省の「国民のためのサイバーセキュリティサイト」も、強固なパスワードの設定と多要素認証を活用することを、安心してインターネットを使うための基本として挙げています。

金銭に直結するサービス（銀行、カード、決済、ショッピング）から順に進めると、被害を小さくしやすくなります。

クレジットカードや銀行口座の確認

カード番号や口座に関わる情報が含まれていた可能性があるときは、明細の確認が大切です。警察庁のページは、次の点を挙げています。

• クレジットカードの不正利用は、カード会社が補償制度や相談窓口を設けている場合がある。不正利用に気づいたら、カード会社に連絡する。
• 相談事例には、後日の支払い明細で身に覚えのない支払いに気づいたものがある。明細は、日頃から見ておくと安心です。
• SMSやメールのリンクから、カード情報を入力しない。

不正送金が疑われる場合は金融機関に連絡します。カード会社や金融機関の対応は、それぞれの規約によって異なります。補償の可否や範囲は、各社に直接確認してください。

また、同ページには「金融機関が、IDやパスワードなどをメールやSMSで問い合わせることはありません」という趣旨の記述があります。メールやSMSでそうした問い合わせが来たら、公式サイトや公式アプリから自分で窓口を確認してください。

漏洩後に増える詐欺に備える

漏洩した情報は、そのまま不審な連絡に使われることがあります。氏名やメールアドレスが分かっていれば、本物らしい文面を作りやすくなるためです。

警察庁のページを踏まえると、次の点に注意します。

• 「漏洩の対応のため」と称してIDやパスワードを求める連絡には応じない。
• 携帯電話番号宛てのSMSも悪用されているため、SMSのリンクも同様に警戒する。
• 不審なアプリを、偽の通知から入れない。スマートフォンが拡散の発信源にされることがある。

連絡の中に連絡先が書かれていても、そのまま使わないでください。公式サイトに載っている窓口を、自分で探して連絡します。

偽サイトのURLを見つけたときは、「フィッシング110番」（インターネット・ホットラインセンター）への通報が案内されています。

すでに入力してしまったら

リンクを開いてIDやパスワードを入力した、カード情報を入力した場合は、時間をおかずに動きます。警察庁のページが示す順序は次のとおりです。

1. サービス提供会社に相談する。不正送金は金融機関、カードの不正利用はカード会社に連絡する。
2. 入力してしまったIDとパスワードを使っているすべてのサービスで、パスワードを変更する。
3. 最寄りの警察署、またはオンラインの通報窓口に相談する。

警察庁のサイバー事案のページでは、警察の全国統一のオンライン窓口が案内されています。通報、相談、情報提供の3種類があり、e-Gov電子申請から手続きできます。お住まいの都道府県の警察本部か管轄の警察署を選ぶと、内容がその窓口に伝わる仕組みです。

各都道府県警察のサイバー犯罪相談窓口の連絡先は、同ページから案内されている一覧ページで確認できます。

相談できる窓口

状況に応じて、相談先を使い分けます。ここに挙げる番号は、いずれも公的機関のページで確認した内容です。

• 商品やサービスのトラブル：消費者ホットライン188。国民生活センターのページによると、188にかけると、住んでいる地域に近い消費生活相談窓口を案内してもらえます。通話料は契約している電話会社によって異なります。IP電話など一部の電話からは使えないことがあります。
• 情報セキュリティの技術的な相談：IPAの情報セキュリティ安心相談窓口（03-5978-7509）。IPAのページによると、受付は10時から17時（土日祝日と年末年始を除く）で、1回の相談は30分以内、相談は無料です。通話料は利用者の負担です。
• サイバー事案の通報・相談：最寄りの警察署、または警察庁が案内するオンライン窓口。
• 個人情報の取り扱いに関する法令違反が疑われる場合：個人情報保護委員会（PPC）の個人情報保護法相談ダイヤル。同委員会のページでは、事業者の法違反に関する通報・相談はこちらと案内されています。

相談の前に、時系列の経緯、使っている端末、他に相談した窓口などを整理しておくと、話が早く進みます。これはIPAのページで挙げられている整理の項目です。

企業と個人情報保護委員会の役割

漏洩が起きたとき、企業には対応が求められます。個人情報保護委員会（PPC）のページには、報告が必要な場合が示されています。

• 要配慮個人情報を含む個人データの漏洩等（そのおそれを含む）
• クレジットカード番号など、財産的被害のおそれがある個人データの漏洩等
• 不正アクセス、ランサムウェアなど、不正目的によるおそれがある漏洩等
• 本人の数が1,000人を超える場合

不正目的による漏洩の例として、同ページは次のような行為を挙げています。不正アクセス、マルウェアによる外部送信、ランサムウェアによる暗号化、書類や媒体の盗難、従業者による持ち出し、ウェブサイトの改ざんです。行為者は従業者に限らず、第三者の場合も含まれます。

通知に原因が書かれている場合は、こうした分類と照らして読むと、どの種類の事案なのかが把握しやすくなります。原因が書かれていなくても、それだけで問題があるとは言えません。調査中のために、後日追加の発表が出ることもあります。公式サイトのお知らせ欄を、ときどき見直してください。

報告の期限は、速報がおおむね発覚から3〜5日以内、確報が30日以内とされています。不正目的のおそれがある場合の確報は60日以内です。

このページは、事業者が委員会へ報告する側の手続きを説明するものです。漏洩の被害を受けた本人が取るべき対応は、同ページには書かれていません。本人としての対応は、前の各節で挙げた警察庁やIPAの案内を参考にしてください。

なお、報告の義務があるかどうかや、個別の事案が法律に当てはまるかどうかは、このページでは判断できません。気になる場合は、個人情報保護法相談ダイヤルなどの公式窓口に相談してください。

記録を残しておく

対応が長引くことに備えて、起きたことを記録しておきます。IPAのページは、相談の前に整理しておくとよい項目として、次の点を挙げています。

• 端末の種類とOS
• 使っているセキュリティソフトの名称
• 利用しているクラウドサービスの名称
• 時系列を含めた具体的な出来事
• 不正アクセスなどが原因だと考えた根拠
• すでに相談した窓口や機関

通知のメールやSMSは、削除せずに残しておくと、警察や企業に説明するときに役立ちます。ただし、リンクや添付ファイルは開かないでください。

パスワードを変更した日や、カード会社に連絡した日も書き留めておきます。同じ内容を複数の窓口で説明することになっても、整理があれば落ち着いて話せます。

窓口によって、できることは違います。企業の問い合わせ窓口は自社のサービスの状況を、カード会社や金融機関は決済の扱いを、消費生活相談窓口は契約やサービスのトラブルを担当します。どこに連絡すればよいか迷ったときは、消費者ホットライン188が近くの窓口を案内してくれます。

公開情報を確認する

Remove Me は、メールアドレスなどをもとに、公開されている情報と、これまでに知られている漏洩を無料で確認できるサービスです。登録は不要です。

ただし、特定の企業の漏洩事案を探すものではありません。結果が空でも、情報が守られているという証明にはなりません。また、現時点では削除の依頼を代わりに送る機能はありません。

無料で公開情報を確認する

出典

• 個人情報保護委員会：漏えい等の対応とお役立ち資料
• 警察庁：フィッシング対策
• 警察庁：サイバー事案に関する相談・通報
• 国民生活センター：消費者ホットライン188
• IPA：情報セキュリティ安心相談窓口
• 総務省：国民のためのサイバーセキュリティサイト