【緊急対策】データ超漏洩が止まらない時代「自分の情報を自分で守る」ための処方箋はじめに：企業が漏らした情報を、個人はどう守るのか
2026年秋、日本のデジタル社会を揺るがす個人情報漏洩が相次いでいます。
タイムズカーを運営するパーク24では、退会者を含む過去7年分、約660万件の会員情報が流出。そのうち約160万件では、運転免許証などの本人確認書類の画像も持ち出されました。ブックオフ、楽天ドライブ、大和証券など、身近なサービスや大手企業でも被害が公表されています。
こうした状況で、政府から聞こえてきたのが「自分の情報は自分で守る」という呼びかけです。
いや、ちょっと待て（笑）。
企業や行政のサーバーから情報が盗まれたら、利用者に何ができるというのでしょう。パスワードをいくら複雑にしても、預けた企業側から漏れたら防ぎようがありません。
これはもっともな話です。個人の努力で企業の情報漏洩そのものを止めることはできません。
しかし、考え方を変えることはできます。
「漏洩を防ぐ」だけでなく、「漏洩しても被害が広がらない仕組みを作る」。
今回は、この視点から個人ができる現実的な対策を整理します。
従来、ソフトウェアの脆弱性が公表されてから攻撃に悪用されるまでには、ある程度の時間がありました。しかし、AIによる脆弱性の発見や攻撃プログラムの作成が進み、その猶予は急速に縮まっています。
攻撃者は高度な専門知識がなくても、AIを利用して攻撃方法を調べ、プログラムを作り、対象を次々と探すことができます。
しかも、オープンウェイト型のAIは、モデルを自分の環境で動かせるため、クラウド側の安全対策だけでは制御できません。
もちろん、AIを使えば誰でも簡単にあらゆるシステムを突破できる、という話ではありません。しかし、攻撃の自動化と低コスト化が進んでいるのは確かです。
これまでの「問題が発覚してから対応する」という姿勢では、間に合わない場面が増えていくでしょう。
「詐欺メールは日本語がおかしいから分かる」
そんな常識も、あてにならなくなりました。
生成AIは、相手の状況やサービスに合わせた自然な文章を作れます。企業の担当者や金融機関を装い、もっともらしい説明で偽サイトへ誘導することも可能です。音声をまねる技術も進歩しており、声が本人らしいからといって信用するわけにはいきません。
さらに注意したいのが、SMSなどで届くワンタイムパスワード（OTP）です。
精巧な偽サイトに入力した数字を、攻撃者がリアルタイムで本物のサイトへ転送する「中継攻撃」があります。利用者が正しい数字を入力していても、攻撃者にログインを突破される可能性があるのです。
つまり、詐欺を見抜く人間の注意力だけに頼る対策には限界があります。
では、どうするか。
人間がだまされても、認証の仕組みそのものが不正を拒否する方法へ移行する。
その有力な選択肢がパスキーです。
パスワードについても、古い常識を見直す必要があります。
記号や数字を混ぜた短いパスワードより、十分に長いパスワードのほうが、一般に推測されにくくなります。
米国国立標準技術研究所（NIST）のガイドラインでは、パスワードだけで認証する場合、15文字以上を求めることが推奨されています。また、複雑な文字種の強制や、根拠のない定期変更を避ける考え方も示されています。
ただし、長ければ何でもよいわけではありません。辞書にある単語や推測しやすい並びを組み合わせただけでは危険です。
そして、もっとも避けたいのがパスワードの使い回しです。
一つのサービスからパスワードが漏れると、同じ組み合わせを使っている別のサービスにも侵入される恐れがあります。メール、金融口座、通販サイトなどが連鎖的に危険にさらされるわけです。
パスワード管理アプリを使い、サービスごとに異なるランダムなパスワードを設定する。これが基本になります。
パスキーは、公開鍵暗号という仕組みを利用した認証方式です。
利用者の端末に秘密鍵を保存し、サービス側には公開鍵を登録します。ログイン時には端末側で認証処理を行うため、パスワードそのものを入力して渡す必要がありません。
ここで重要なのが、接続先のドメインと認証が結び付いていることです。
銀行そっくりの偽サイトにアクセスしても、正規サイト用のパスキーをそのまま使って認証を突破することはできません。SMSの数字を盗み取って転送する中継攻撃にも強い仕組みです。
また、サービス側から公開鍵が漏れたとしても、それだけで秘密鍵を再現してログインすることはできません。
もちろん、端末の盗難やアカウント復旧手続きなど、別のリスクまで消えるわけではありません。それでも、従来のパスワード認証よりフィッシングに強いことは大きな利点です。
まずはメインのメールアカウントから、パスキーへの切り替えを検討する。
メールは、ほかのサービスのパスワード再設定にも使われます。ここを突破されると被害が広がりやすいため、優先順位は高いのです。
もう一つ、見直したいのが本人確認の方法です。
運転免許証などの画像は、一度流出するとコピーされ、別の手続きに悪用される恐れがあります。画像を変更したり、偽造したりすることも可能です。
本人確認が終わった後も、企業が画像を長期間保管していれば、それだけ漏洩時のリスクが大きくなります。
一方、マイナンバーカードなどのICチップを利用する認証では、秘密鍵などを使って本人性を確認する方式が利用できます。
画像を相手に渡すことと、ICチップを用いて正規のカードを所持していることを暗号技術で証明することは、同じではありません。
ただし、すべてのICチップ認証が同じ仕組みというわけではなく、サービス側の実装や本人確認方式によって安全性は異なります。
企業側にも、必要以上に個人情報を集めない、目的を終えた情報は適切に削除する、といった責任があります。利用者だけに負担を押し付けて済む話ではありません。
全部を一度にやる必要はありません。優先順位を付けて、一つずつ進めましょう。
STEP 1：重要なアカウントをパスキー化する
メインのメール、GoogleやAppleのアカウントなど、ほかのサービスの復旧に関わるものから始めます。
STEP 2：金融関係の認証を強化する
銀行、証券、クレジットカード、決済アプリの認証設定を確認し、利用できる場合はパスキーなどのフィッシング耐性のある方式を導入します。
STEP 3：パスワードを使い回さない
パスワード管理アプリで、サービスごとに異なる十分に長いパスワードを生成・保存します。
STEP 4：クラウドの暗号化設定を確認する
クラウドに写真や文書を保存しているなら、エンドツーエンド暗号化など、利用できる保護機能を確認します。復旧キーは安全な場所に保管してください。
STEP 5：信用情報機関の本人申告制度を確認する
免許証などの本人確認情報が漏れた場合は、CIC、JICC、全国銀行個人信用情報センターの本人申告制度を調べ、必要に応じて登録を検討します。登録すれば不正契約を完全に防げるわけではありませんが、注意を促す手段になります。
STEP 6：メールやSMSのリンクからログインしない
「情報が漏洩した」「至急確認してください」といった連絡が来ても、記載されたリンクを安易に開かない。公式アプリや自分で登録したブックマークから確認します。
STEP 7：OSやルーターを更新する
スマートフォン、PC、家庭用Wi-Fiルーターなどの更新を怠らないこと。メーカーのサポートが終了した機器は、買い替えを検討してください。
ChatGPTやClaude、GeminiなどのAIは、セキュリティ対策の整理にも使えます。
例えば、利用しているサービス名を伝えて、重要度順に対策を並べてもらう。企業から届いた漏洩通知を読み解き、自分が何を確認すべきか整理する。ルーターの型番から、メーカーのサポート状況を調べる。
こうした使い方は便利です。ただし、AIの回答が正しいとは限らないため、設定手順やサポート終了日は公式情報で確認しましょう。
そして、次の情報はAIに入力しないこと。
パスワード、秘密鍵、復旧コード
ワンタイムパスワード
運転免許証やマイナンバーカードの画像
不必要な氏名、住所、電話番号などの個人情報
また、メールやブラウザを操作するAIエージェントに大きな権限を与える場合も注意が必要です。メールやWebページに仕込まれた悪意ある指示によって、意図しない操作を実行する恐れがあります。
送金やアカウント設定の変更など、重大な操作は人間が最終確認する。便利だからといって、すべてを丸投げしないことです。
「自分の情報は自分で守る」。
この言葉を、企業の責任を個人に押し付けるための合言葉にしてはいけません。企業には情報を適切に管理する責任があり、行政には社会全体の安全性を高める責任があります。
その一方で、私たちにもできることはあります。
パスキーを使う。パスワードを使い回さない。重要な情報を必要以上に預けない。機器を更新する。そして、怪しい連絡を受けても慌てて操作しない。
目指すのは、情報漏洩が絶対に起きない世界ではありません。
仮にどこかで情報が漏れても、自分のアカウントや財産に被害が広がりにくい仕組みを作ること。
完璧を目指して途方に暮れる必要はありません。まずは、メインのメールアカウントの認証設定を確認するところから始めてみませんか。
皆さんが最初にパスキーへ切り替えたアカウントや、設定で困ったことがあれば、ぜひコメント欄で教えてください。
感想
まだ感想はありません。最初の1件を書きましょう！