「最近、情報漏洩のニュースが多くないか」と感じる人は少なくないでしょう。2026年9月から10月初旬にかけて、タイムズカー、ABAHOUSE、セイコーマート、イープラス、Gyazo、デジタル庁のガバメントソリューションサービス（GSS）、JOGMECなど、業種の異なる企業・組織から不正アクセスや情報漏洩に関する発表が相次ぎました。
ただし、短期間にニュースが集中したことだけで「2026年になって情報漏洩が急増した」と断定することはできません。一方で、公的統計を見ると個人データの漏洩等報告は非常に多く、ランサムウェアなどのサイバー脅威も高い水準が続いています。本記事では、直近の事例を整理したうえで、クレジットカード情報はどこに保存されているのか、運転免許証画像が漏洩すると何が問題なのかまで掘り下げます。
短期間に相次いだ情報漏洩
直近の発表を見ると、情報漏洩は特定の業界だけで起きているわけではありません。カーシェア、アパレル、小売、チケット販売、Webサービス、行政、公的機関まで広がっています。また、「漏洩した可能性」と「第三者による取得を確認」「不正閲覧を確認」では事実の段階が異なるため、各社の表現を区別して見る必要があります。
| 企業・組織 | 主な公表内容 |
|---|---|
| タイムズカー | 約660万アカウントの一部会員情報を第三者が取得。本人確認書類は約160万アカウントで漏洩を確認 |
| ABAHOUSE | 会員・受注データベース全体に不正アクセスされた可能性があり、会員情報を預かるすべての顧客が対象となる可能性 |
| デジタル庁 GSS | VPNの脆弱性を利用した侵入で、職員や関係者など約24.6万件の個人情報が漏洩した可能性 |
| Gyazo | 画像関連メタデータの流出を確認。削除済み画像に関するメタデータ約1.74億件も対象 |
| セイコーマート | アプリ登録歴のある会員57万2,022人分の情報が不正アクセスで閲覧されたことを確認 |
| イープラス | 払戻し情報管理システムへの不正アクセスで1,463件。返金方法により銀行口座情報なども対象 |
| JOGMEC | 情報システムへの外部からの不正アクセスにより個人情報が漏洩した可能性 |
タイムズカーは約660万アカウント
パーク24は9月28日、タイムズカーWebシステムへの不正アクセスで、約660万アカウントについて一部の会員情報を第三者が取得したことを確認したと発表しました。対象には現在の会員だけでなく、退会済みの人や入会手続きが完了しなかった人なども含まれます。9月29日の第3報では、運転免許証画像、現住所確認書類画像、学生証画像、家族確認書類画像といった本人確認書類について、約160万アカウントで漏洩を確認したとしています。
一方、同社はクレジットカード情報については漏洩していないことを確認したと説明しています。約660万件という数字だけから「660万件のカード番号や免許証画像がすべて漏れた」と読み替えるのは正確ではありません。情報の種類によって対象範囲が異なります。
ABAHOUSEは全顧客が対象となる可能性
アバハウスインターナショナルは10月2日、社内システムへの不正アクセスにより顧客情報が漏洩した可能性を公表しました。データベース全体に不正アクセスされた可能性があり、取得範囲を特定できていないため、会員情報を預かっているすべての顧客が対象となる可能性があるとしています。退会済みでも、過去の注文情報が受注データとして残っていた人は対象になり得ます。
注目すべきなのは発覚の経緯です。複数の顧客から「実際の注文情報と一致する不審な返金案内メールが届いた」と問い合わせがあり、調査によって不正アクセスの痕跡が確認されました。漏洩した情報は、それ自体が悪用されるだけでなく、本物の注文内容を知っているように見せる精巧なフィッシングや詐欺に利用されるおそれがあります。
「最近多い」は本当なのか
短期間に大きな発表が集中しているのは事実ですが、「2026年9月から突然、情報漏洩そのものが急増した」と示す統計は現時点では確認できません。ニュースの公表日と実際の侵入日が異なるケースもあり、単純にニュース本数だけを数えることも適切ではありません。
一方、個人情報保護委員会の2025年度年次報告では、民間の個人情報取扱事業者等について個人データの漏洩等報告を17,139件処理しています。そのうち、不正アクセス等の不正目的で行われたおそれのある漏洩等は22.3％でした。行政機関等についても2,278件の報告を処理しており、漏洩問題そのものが日常的に多数発生していることが分かります。
警察庁によると、2025年に企業・団体等から報告されたランサムウェア被害は226件でした。2024年の222件と近い水準であり、ランサムウェア被害は依然として高水準です。IPAの「情報セキュリティ10大脅威 2026」でも、組織向けではランサム攻撃、サプライチェーンや委託先を狙った攻撃、システムの脆弱性を悪用した攻撃などが主要な脅威として挙げられています。
クレジットカード情報はどこにある？
顧客情報が漏洩したニュースを見ると、「そのサイトでカード払いをしたから、カード番号も漏れたのでは」と考えがちです。しかし、EC事業者がクレジットカード番号そのものを保存しているとは限りません。
ABAHOUSEは今回、クレジットカード番号とセキュリティコードを決済代行会社のシステムで管理しており、自社システムには保存していないと説明しています。そのため、現時点の調査ではこれらの漏洩は確認されていません。加盟店側がカード番号を持たない「非保持化」は、漏洩時の影響範囲を小さくする重要な考え方です。
決済会社はPCI DSSなどで守る
経済産業省は、加盟店におけるカード情報の非保持化や、カード情報を保持する場合のPCI DSS準拠、カード会社・決済代行業者等のPCI DSS準拠などをセキュリティ対策として示しています。PCI DSSはカード会員データを保護するための国際的なセキュリティ基準です。
カード番号そのものの代わりに別の値を使う「トークン化」もあります。PCI Security Standards Councilは、適切なトークン化ではトークンだけを知っても元のカード番号を実用的に復元できないようにする考え方を示しています。暗号化やアクセス制御、不正利用検知、EMV 3-Dセキュアなども含め、決済は複数の層で保護されます。
非保持でもカード情報が盗まれることはある
ただし「決済代行会社が保存しているから絶対に安全」という意味ではありません。経済産業省は、加盟店がカード番号を保持していなくても、ECサイト自体を改ざんし、偽の決済画面へ誘導したり不正なプログラムで入力中のカード情報を窃取したりする攻撃があると説明しています。
また、カード情報の不正利用は情報漏洩だけでなくフィッシングなどでも発生します。日本クレジット協会の資料では、2024年のクレジットカード不正利用被害額は555億円で過去最高、2025年は510.5億円と前年から減少したものの高い水準でした。企業の漏洩ニュースでカード情報が「対象外」とされていても、その事件に便乗した偽メールにカード番号を入力してしまえば別の経路で被害につながります。
免許証画像の漏洩は何が違う？
タイムズカーの事案で特に重いのが、約160万アカウントで本人確認書類の漏洩が確認された点です。運転免許証は氏名や住所、生年月日、顔写真、免許証番号などをまとめて本人確認に使える書類です。メールアドレスだけの漏洩とは、悪用された場合の性質が異なります。
画像が漏れたからといって、直ちに第三者がローンや契約を成立させられるとは限りません。事業者側にも本人確認や審査があります。しかし、本人確認書類の情報が外部に渡った可能性がある以上、名義冒用を警戒する意味はあります。
免許証を再交付すれば解決する？
ここで注意したいのが「免許証を再交付すれば番号が変わり、漏れた画像を無効化できるのでは」という考え方です。警察の運転免許事務に関する資料では、免許証を亡失・滅失したことを理由に再交付する場合、免許証番号の末尾の数値に1を加えた新しい番号を使用する扱いが確認できます。一方、亡失・滅失以外の理由による再交付では現在の免許証番号を使用する扱いも示されています。
したがって、情報漏洩を知った人が任意に再交付すれば必ず末尾が増える、という単純な仕組みではありません。また、末尾の数字が大きいこと自体を公的な「信用スコア」として扱う制度も、今回確認した公的資料にはありません。「再交付回数が増えると信用が下がる」と断定するのは避けるべきです。
画像流出でも信用情報機関へ申告できる
免許証そのものをなくしていなくても利用できる対策があります。日本信用情報機構（JICC）は、運転免許証などの現物が手元にあっても画像や情報が流出した場合、「名義の悪用防止」として本人申告コメントを登録できると案内しています。JICC加盟会員はローンやキャッシング等の審査で信用情報を参照する際、このコメントも確認できます。
CICにも本人申告制度があり、本人確認書類の紛失・盗難や名義悪用のおそれがある場合などに申告情報を登録できます。ただし、こうした制度は不正利用を完全に防ぐ保証ではなく、各社の与信判断もそれぞれの基準で行われます。漏洩対象者は、まず漏洩元企業から届く正式な個別案内を確認し、そのうえで必要な対策を判断することが重要です。
過去から続く情報漏洩の問題
大規模な情報漏洩は2026年に突然始まった問題ではありません。例えば個人情報保護委員会は、LINEヤフーで2023年に発生した不正アクセスについて、ユーザー、取引先、従業者など約52万人分の個人データが漏洩または漏洩のおそれがあったとしています。侵入の契機には業務委託先企業の従業者が使用していたPCのマルウェア感染があり、サプライチェーンを含めて考える必要性を示した事例でもあります。
カード情報についても同様です。経済産業省と警察庁は2023年、EC加盟店などでサイバー攻撃によるカード番号等の漏洩事案が相次いでいるとして、情報共有や攻撃手口の分析を進めるための覚書を締結しました。つまり、現在のニュースは突然現れた新しい問題というより、長く続いてきた攻撃と防御の競争の中で、異なるサービスから大きな事案が短期間に相次いで公表されていると見る方が正確です。
自分の情報が対象になったら
まず確認すべきなのは「何が漏れたのか」です。メールアドレス、パスワード、カード情報、銀行口座情報、本人確認書類では必要な対応が異なります。「漏洩の可能性」なのか「第三者による取得を確認」なのかも公式発表で確認してください。
- 企業から届いたメールのリンクをそのまま開かず、自分で公式サイトや公式アプリを開いて発表を確認する。
- パスワードが対象、または使い回しがある場合は、公式画面からサービスごとに異なるパスワードへ変更し、多要素認証があれば利用する。
- カード情報を入力してしまった、不審な利用がある場合はカード会社へ連絡し、利用通知や明細を確認する。
- 免許証など本人確認書類の画像が対象なら、企業の個別案内を確認し、必要に応じて信用情報機関の本人申告制度なども検討する。
- 「返金」「補償」「漏洩確認」を名目にカード番号や認証コードを求めるメール・SMSには特に注意する。
ABAHOUSEの事案では、実際の注文情報と一致する不審な返金メールが利用者に届いたことが発覚のきっかけになりました。情報漏洩後は、攻撃者が氏名や注文内容などを知っているため、一見すると本物に見える連絡を作れる可能性があります。「自分しか知らない注文内容が書かれているから本物」とは判断しないことが重要です。
最近の一連の発表から見えるのは、「大企業だから」「行政だから」「決済を外部委託しているから」といった一つの条件だけでは安全を保証できないということです。一方で、カード情報の非保持化やトークン化、脆弱性対策、多要素認証、信用情報機関への本人申告など、被害の発生確率や影響を小さくする仕組みもあります。情報漏洩のニュースでは件数の大きさだけでなく、どの情報が、どの段階まで漏れたことが確認され、二次被害を防ぐために何ができるのかを見ることが重要です。
コメント