3件は、まったく別の事故だった
続けて起きたので同じように見えますが、漏れたものが違います。やるべきことも違います。公表されている内容を並べます。
| 公表 | 規模 | 漏れたもの |
|---|---|---|
| 佐川急便（9月30日に不正アクセスを確認） | 最大約5,323万件（重複を含む） | 送り主と届け先の氏名・住所・電話番号。会員はメールアドレスと会員IDも。パスワードとカード情報は含まれない |
| ソースネクスト（10月15日公表） | 22,519,960件 | メールアドレス、パスワード、氏名、住所、生年月日、会社名・役職名・部署名など |
| お名前.com デスクトップクラウド（10月21日以降） | 影響の可能性があるサーバー26,739件 | サーバー内に保存されていた認証情報。取引口座のログイン情報を含む |
表を見ると、打つ手が分かれます。パスワードが含まれた2件は、使い回しをしている人のほうが危ない。含まれない1件は、使い回しを直しても何も解決しません。
パスワードが漏れた側なら、同じ組み合わせを使っている他のサービスを先に直す。漏れていない側なら、変えても意味がない。まず「何が漏れたか」を見てから動いてください。
気づくまでに時間がかかっている
ソースネクストは、不正な利用が始まったのが10月9日の午前、封じ込めが終わったのが10月13日の午後、と公表しています。4日あります。
そして入口は、画面からの操作ではなく会員情報を取得するAPIの不正利用でした。人がログイン画面を叩く形ではないので、見ていなければ分かりません。
これは中小企業にも当てはまります。自社のシステムに、画面を通さずデータを取り出せる口があるかどうか。あるなら、誰が叩けて、叩かれた記録が残るか。ここを答えられる会社は多くありません。
ここからが本題：生成AIと重なると何が変わるか
漏れたデータそのものは、以前からありました。新しいのは、それを使う側の道具です。
これまで、詐欺のメールやSMSは日本語で見分けられました。助詞が変、敬語が崩れている、会社名の表記が違う。研修でも「不自然な日本語に気をつけて」と教えてきました。
それが成り立たなくなりました。IPAも「情報セキュリティ10大脅威 2026」の解説書で、攻撃する側の翻訳能力が上がり、多言語のフィッシングを作りやすくなったと指摘しています。同じ年に「AIの利用をめぐるサイバーリスク」が組織向けの3位に初めて入りました。
佐川の件で出たのは、氏名・住所・電話番号。ソースネクストの件で出たのは、会社名・役職名・部署名。前者で「誰にどこへ荷物が届くか」が分かり、後者で「その人がどの会社の何係か」が分かります。
この2つが揃った状態で、自然な日本語の文面を大量に作れる道具が、いま誰にでも使えます。
つまり、漏れたデータの価値が上がりました。「古い名簿だから大丈夫」が通じにくくなっています。
「見分ける研修」をやめる
ここが見解です。見分け方を教える研修は、もう投資効率が悪い。
見分けられる前提で手順を組むと、見分けられなかった日に全部が崩れます。そして見分けられない文面は、すでに作れます。
代わりに、見分けなくても事故らない手順にします。中身は地味です。
① メールやSMSのリンクは踏まない。用があるなら、自分でブックマークから開く
② 認証情報やお金が動く依頼は、必ず別の経路で確認する。メールで来たらメールで返さない
③ 社内の連絡経路を1本に決める。「人事部から」と名乗る見知らぬ連絡は、その経路以外では成立しない
④ 本物の会社は、パスワードやカード番号をメールや電話で聞かない。聞かれたら偽物
④は今回の3社とも、公式のお知らせで自ら呼びかけています。覚えることが1つで済むので、研修で最初に言うならこれです。
自分の会社が漏らす側になったら
3社の対応を見ていると、公表している内容がよく似ています。何が漏れた可能性があるか、何は漏れていないか、利用者に何をしてほしいか、問い合わせ先はどこか。
自社で明日同じことが起きたとき、この4つを出せるでしょうか。
出せない理由は、たいてい技術ではありません。誰が判断するか決まっていない。連絡先が一本化されていない。そして、報告した人が責められるかもしれないと思われている。
最後のが一番効きます。報告が上がってこなければ、何が漏れたかを数えることすらできません。社内ルールに「報告しても責めない」と書いておくのは、きれいごとではなく実務です。
今日できること
長い対策より、順番のほうが大事です。
まず、自分と家族のパスワードの使い回しを見る。全部は無理なので、メールとネット銀行の2つから。メールを取られると、他のパスワードを全部再発行されるからです。
次に、社内で「リンクを踏まない」を一度だけ言う。配る紙は1枚でいい。
そして、自社が持っているデータのうち、画面を通さず取り出せるものがあるかを確認する。無ければそれでいい。あるなら、記録が残るかを見てください。