2026年10月版 市民のための自衛ガイド
なぜこの対策なのか
攻撃者の目線で見た、今回の漏えい
このサイトの対策は、国の呼びかけを並べ直したものではありません。「盗まれた情報を、攻撃者はどうやってお金に変えるのか」から逆算して、断ち切る場所を選んでいます。
- 事実には出典を明記
- 最終更新 2026年10月17日
何が起きているか（事実）
JPCERT/CC（国内のセキュリティ事故対応の調整機関）は10月8日、相次ぐ不正アクセスについて注意喚起を出しました。確認された手口は次のとおりです。
- 既知の弱点や設定ミスを探す。ソフトウェアの公表済みの脆弱性や、設定ファイル・バックアップファイルの置きっぱなしを、標的ごとに探索・悪用しようとした可能性が報告されています。
- スマホアプリを分解して、裏口のAPIを操作する。アプリの中から通信の宛先や鍵を見つけ出し、画面からはできない操作（権限の変更、アカウントの作成など）を実行します。
- 分析ツールの脆弱性を突く。データ分析ツール「Metabase」の重大な脆弱性が悪用されました。分析ツールから保有データへアクセスできる場合があります。どの保存先から流出したかは、各事案の公式発表で確認します。
- サーバーに遠隔操作の仕掛けを置く。公開サーバーから届く内部のサーバーに、命令を実行させるファイルが置かれた例があります。
マクニカは、弱いシステムを広く探す攻撃の可能性が高いと分析しています。同社が定義した事案では、2026年10月6日までに公表された119件のうち81件が7月以降です。一方、その81件のうち65件は公表情報だけでは侵入原因を分類できません。JPCERT/CCも、把握している情報は限定的で、示した手口が全事案に共通するわけではないとしています。
あなたがどれだけ気をつけていても、情報を預けた先が破られれば漏れます。だから個人の対策は「漏れないようにする」ではなく、「漏れても被害にならないようにする」ことが中心になります。
出典：JPCERT/CC「直近で相次いでいる国内組織における不正アクセスに関する注意喚起」（2026年10月8日、9日更新）、マクニカ「相次ぐWEBシステムからの情報漏洩事案について」
漏れたものの性質 ── 変えられるもの、変えられないもの
| 漏れた情報 | あとから変えられるか | 攻撃者にとっての使い道 |
|---|---|---|
| パスワード | 変更できる | そのサービスや使い回した先への不正ログイン。流出・使い回しがあれば、それぞれ変更する |
| メールアドレス | 手間はかかるが変えられる | フィッシングの宛先。別アドレスにしても、漏れた宛先への詐欺は続き得る |
| 電話番号 | 変えにくい | SMS詐欺、詐欺電話、SIM乗っ取りの入口 |
| 住所 | ほぼ変えられない | 郵便・訪問による詐欺、名簿化、強盗の下見 |
| 氏名・生年月日 | 変えられない | 電話での「本人確認」の突破、信用させる材料 |
| 免許証などの画像 | 免許証では写真・交付日等が変わり、番号の末尾が変わる場合がある。書類ごとに手続きと変更項目は異なり、流出済み画像は回収できない | 偽造身分証の材料、なりすまし契約、詐欺の小道具 |
| 購入・配送・予約の履歴 | 変えられない | 「本物らしさ」の演出。実際の注文に合わせた偽の連絡 |
インターネット接続サービスのhi-hoでは、他社への乗り換えを勧誘する第三者が電話で顧客からログイン情報を聞き出し、38,509件（契約単位）の不正ログインが起きました。同社は、電話番号・郵便番号・生年月日でログインできる方式を廃止しました。「知っている情報」で本人確認をする仕組みが、もう通用しないことを示す例です。
今回の漏えいには、パスワード以外に本人確認に使われ得る情報も含まれます。どの情報が漏れたかは事案ごとに違います。氏名・住所・生年月日だけを秘密の証拠にできないため、情報が悪用される道筋も点検します。
攻撃者の6つの換金ルートと、断ち方
盗んだ情報は、それだけではお金になりません。攻撃者は次のどれかの道を通ってお金に変えます。主な悪用経路と被害の可能性を減らす対策を整理します。対策だけで全ての被害を防げるわけではありません。
-
信じ込ませる（フィッシング・詐欺電話）使う情報氏名、メール、電話、使っているサービス、注文や配送の内容攻撃者の動き本物そっくりの「お詫び」「再登録」「不在通知」を送り、偽サイトで情報を入力させる断ち方届いた連絡からは動かない。見分けようとせず、自分で公式の入口から確かめる。便乗詐欺の手口
-
ログインを奪う（使い回し・中継型フィッシング）使う情報漏れたパスワード、メールアドレス攻撃者の動き同じ組み合わせでほかのサービスに自動ログイン。偽サイトでSMSコードをその場で横取りする。電話で「届いたコードを読んで」「承認を押して」と頼む断ち方長く、推測しにくい別々のパスワード。可能ならパスキー。SMSの追加認証も、認証なしより安全。パスキーとは
-
電話番号を奪う（SIM乗っ取り）使う情報氏名、住所、生年月日、免許証の画像攻撃者の動き偽造書類で携帯ショップのSIM再発行等を狙う手口が報告されています。盗んだ携帯会社のIDで、ネットからeSIMを再発行させることもある。SMSの認証コードを受け取り、決済や銀行を乗っ取る断ち方携帯会社のIDのパスワードと、契約の暗証番号を見直す。対応していれば新しい認証と復旧方法を確認してからSMSを移す。突然圏外になったらすぐ連絡。携帯電話の守り方
-
あなたになりすまして契約する使う情報免許証などの画像、氏名、住所、生年月日攻撃者の動き券面を目で見るだけの確認を偽造品で通り、カード、ローン、携帯、口座を契約する断ち方カード・ローンの審査では信用情報機関への本人申告が参考になる場合があります。預金口座の開設や携帯電話の契約には、この申告だけでは対応できません。身に覚えのない契約は各社へ連絡してください。免許証が漏れたら
-
物理的に狙う（郵便・訪問・強盗）使う情報住所、年齢、家族構成、購入履歴攻撃者の動き名簿にして売買する。業者や役所を名乗って訪問する。在宅状況や資産を電話で探る断ち方アポなしの訪問には開けない。電話で資産や在宅の話をしない。家族を守る
-
あなた自身にお金を動かさせる（ニセ警察・投資・遠隔操作）
振込限度額は銀行振込の被害額を抑える対策です。カードや決済の利用通知は不正利用に早く気づくための対策で、金額の上限にはなりません。なりすまし契約や訪問詐欺には別の対応が必要です。
国の呼びかけを、エンジニアとしてどう見るか
デジタル大臣は10月6日の会見で、国民に3つの対策を呼びかけました。どれも正しい対策です。そのうえで、今回の漏えいに当てはめたときの足りない点を挙げます。
| 国の呼びかけ | 評価 | 足りない点と、このサイトの対策 |
|---|---|---|
| パスワードの使い回しをやめる | 正しい | 事案によっては氏名や住所、本人確認書類なども漏れる。これだけでは、詐欺、SIM乗っ取り、なりすまし契約、訪問は防げない |
| 多要素認証を使う | 正しいが、中身が大事 | SMSも認証なしより安全。ただし、電話番号の乗っ取りと、偽サイトでコードを横取りする手口に弱い。選べるならパスキーなど偽サイトに強い方式を使い、移行時は予備の手段も確認する |
| 不審なメールやSMSのリンクを開かず、公式サイト・アプリから確認する | 独立した確認経路を使う | 公式会見もこの確認方法を案内しています。このサイトでは電話・郵便・訪問も含め、相手から示された連絡先に頼らず確認する手順を整理します |
| 「自分の情報は自分で守る」 | 誤解を生みやすい | 企業に預けた情報は、個人では守れない。個人にできるのは、変更・無効化できる情報への対処、被害の種類に合う取引上限の見直し、早く気づくための設定です。上限設定だけで被害総額を保証できるわけではありません |
出典：ITmedia NEWS（2026年10月6日）、Impress Watch（2026年10月8日）、nippon.com 証券口座乗っ取りの解説
個人にできないこと（正直に）
- 企業のデータベースに残った情報を、個人だけで確実に消すこと。退会後も履歴やバックアップに残る場合があります。詳しくは退会・削除・書き換えの真実で説明します。
- 漏えいそのものを止めること。攻撃されるのは、あなたの端末ではなく企業のシステムです。
- 顔写真や生年月日を「無効」にすること。パスワードのように変更できません。
だからこそ、市民として企業や行政に求めてよいことがあります。
- 必要以上に集めない、必要がなくなったら消す。国家サイバー統括室と個人情報保護委員会も、10月に事業者へ同じことを求めています。
- 本人確認書類の画像を長く保存しない。タイムズカーは退会後も免許証の画像を7年間保存しており、退会者も漏えいの対象になりました。
- 本人確認を「知っているか」から「持っているか」へ。生年月日や住所を聞く確認ではなく、ICチップやパスキーで確かめる方式にする。hi-hoは生年月日などでのログインを廃止しました。金融庁も10月9日、金融機関に、画像による本人確認からICチップの読み取りへの移行を前倒しするよう要請しました。携帯電話の店頭契約でICチップの読み取りが原則になるのは2027年4月です。
- 退会時にデータを消す仕組みを、最初から作る。
出典：金融庁 注意喚起（2026年10月9日）、内閣官房国家サイバー統括室「不正アクセスによる漏えい等の事案を踏まえた対応について」（2026年10月9日）、個人情報保護委員会 注意喚起（2026年10月7日）、タイムズカー「ご質問と回答」
確認に使った追加資料：デジタル大臣会見の原文、警察白書のSIMスワップの説明