「漏えいしたおそれ」は何を意味しているのか

• 「おそれ」は否定ではない
• 「現時点で確認されていない」も否定ではない
• 第1報の件数は後から増えることがある

不正アクセスの公表文には決まった言い回しがある。意味を取り違えると、判断を誤る。

「漏えいしたおそれ」

• 漏えいした可能性があるという意味
• 漏えいしたと確定していない
• 漏えいしていないという意味でもない

調査がまだ終わっていないという状態を示している。

「現時点で確認されていない」

これも否定ではない。

• 確認できていないだけ
• 調査が進めば確認されることがある
• ログが無ければ、永遠に確認できない場合もある

第一興商は、外部に漏えいした事実や不正利用は現時点で確認されていないとしている。今後変わりうる。

「不正アクセスを受けた」と「漏えいした」

上から下へ、確からしさが上がる。

第1報に件数が無い理由

パーク24の第1報には件数が書かれていない。

• 公表の時点では範囲が分かっていない
• 調べる前に数字を出すと、後で訂正になる
• 公表自体を遅らせない判断でもある

3つ目が重要だ。数字が固まるまで黙っているほうが問題になる。

件数は増えることがある

調査が進むと対象が広がる。

• 退会者が対象に含まれると分かる
• 入会手続きが途中の人も含まれると分かる
• 別のシステムにも及んでいたと分かる

パーク24の事例では、現会員だけでなく退会者と入会未完了者も対象に含まれたと報じられている。

「第1報」「第2報」の読み方

• 第1報 — 起きた事実と、止めた措置
• 第2報以降 — 範囲、件数、原因
• 最終報 — 原因の特定と再発防止

第1報の内容が薄いのは当然だ。そこを責めると、公表が遅くなる方向に働く。

見るべき4点

1. 自分が対象の範囲に入るか
2. 出た情報の項目は何か
3. 確認済みか、おそれか
4. 次の案内はいつか

2つ目で対応が決まる。変えられる情報か、変えられない情報かだ。

項目の書き方に注意する

「など」が付くかどうかで意味が変わる。

• 「氏名、メールアドレス」 — その2つ
• 「氏名、メールアドレス など」 — 他にもある

パーク24の第1報は「…連携サービスID など」と書いている。列挙は網羅ではない。

「パスワードは暗号化されています」

よく出る表現だ。

• 平文で保存していない、という意味
• 解読される可能性が無いという意味ではない
• 方式が古いと時間をかければ解かれる

この記載があっても、パスワードは変える。

「クレジットカード情報は含まれません」

• カード番号を自社で保持していない構成が多い
• 決済代行に任せていれば自社には無い
• 有効期限だけが出る場合がある

JR東日本は、大人の休日倶楽部会員についてクレジットカード有効期限が対象に含まれるとしている。番号は対象外でも、項目は残る。

法令上の報告との関係

公表の裏には義務がある。

• 個人データの漏えい等で一定の事態に当たる場合、個人情報保護委員会への報告が必要
• 速報は発覚から3〜5日以内
• 確報は30日以内、不正な目的によるおそれがある場合は60日以内

速報の期限が短い。詳細が分からない段階で第1報が出るのはこのためだ。

本人への通知

• 対象となる本人への通知も求められる
• 通知が困難な場合は、ホームページでの公表などの代替措置が認められる

個別の通知が来ないことがあるのは、代替措置が認められているからだ。

公表していない企業もある

報告義務の対象は限定されている。

• 要配慮個人情報が含まれる場合
• 財産的被害のおそれがある場合
• 不正アクセス等、故意によるもの
• 1,000人を超える漏えい等

この4つのいずれかに当たる場合が対象だ。小規模だから公表しない、とは限らない。八十二長野銀行は35人分で公表している。

読み終わったらやること

1. 対象なら、出た項目に応じて手を打つ
2. パスワードは記載に関係なく変える
3. 次の案内の時期を控える
4. その企業を名乗るメールのリンクは踏まない

4つ目が実害につながる。公表の後に偽の案内が来る。

まとめ

1. 「おそれ」も「確認されていない」も否定ではない
2. 「など」が付く列挙は網羅ではない
3. 第1報に件数が無いのは普通のこと
4. 件数は後から増えることがある
5. 速報の期限は3〜5日。だから内容が薄い

言い回しの意味が分かると、追加の発表を待つべきか判断できる。

出典

• 個人情報保護委員会「漏えい等報告・本人への通知の義務化について」https://www.ppc.go.jp/news/kaiseihou_feature/roueitouhoukoku_gimuka/
• パーク24「『タイムズカーWebサイト』への不正アクセスによる個人情報漏えいの可能性について（第1報）」https://www.park24.co.jp/news/2026/09/web1.html
• 各社の公表内容は、日経xTECH、CNET Japan、テレビ信州の各報道による

法令の適用は個別の事情で変わる。この記事は法的な助言ではない。