このところ、情報漏えいのニュースが続いています。見ていて落ち着かない、という担当者の方も多いのではないでしょうか。
2026年9月25日、パーク24とタイムズモビリティが、カーシェア「タイムズカー」のWebシステムへの不正アクセスを公表しました。その後の続報で、漏えいしたアカウントは約660万件、そのうち約160万件では運転免許証の画像などの本人確認書類まで第三者に取得されたことが分かっています。前後して、焼肉きんぐの運営会社、大和証券、第一生命、日本経済新聞社などからも、個人情報の漏えいや不正アクセスの発表が相次ぎました。
先に結論を書きます。この一連の件から、いま学べるのは「どこから入られたか」ではありません。「何を持っていたから、何が漏れたか」のほうです。
侵入の経路は、多くの会社でまだ調査中です。分かっていない原因から教訓を引くのは早すぎます。一方で、漏れたものの中身はすでに公表されています。そこには、AIを社内に入れようとしている会社にとって、そのまま当てはまる話が含まれています。
※本記事は2026年10月7日時点で各社が公表している情報にもとづいています。当社はセキュリティの専門会社ではありません。個別の事案の原因や責任を論じるものではなく、AIの導入を進める会社が自社に当てはめて考えるための材料として整理しています。
タイムズカーの件を、公式の発表で確認できたことだけ並べます。
| 日付 | 公表された内容 |
|---|---|
| 9月25日 | 午前に不正アクセスを検知し、調査を開始。第1報を公表 |
| 9月26日 | 不正アクセスの経路と、攻撃元との通信を遮断 |
| 9月28日 | 会員情報が第三者に取得されたことを確認。対象は約660万件 |
| 9月29日 | 本人確認書類の画像が取得されたアカウントが約160万件と判明 |
漏えいした項目は、氏名・住所・生年月日・電話番号・メールアドレス・運転免許の情報・本人確認書類の画像・復元できない形式で保管していたパスワード、そして連携している外部サービスのIDです。クレジットカード情報は漏えいしていないこと、公表時点で不正利用は確認されていないことも、あわせて発表されています。
注目したいのは、対象の範囲です。現在の会員だけでなく、退会済みの人と、入会を申し込んだものの手続きを終えていない人まで含まれています。
取引の記録には、法令で一定期間の保存が求められるものがあります。退会者のデータを残していたこと自体を、外から責めることはできません。ただ、結果として「いま使っていないデータ」も同じように漏れた。ここが、すべての会社にとっての教訓になります。
「AIで攻撃が簡単になったから急に増えたのでは」と思うかもしれません。ここは、見方が分かれています。
ITmediaの記事で、ラックの倉持浩明氏は、攻撃が短期間に急増したというより、各社の調査や公表の時期が9月末に重なった面が大きいという見方を示しています。今回の事案でAIが実際に使われたことを示す公表情報は確認できない、とも述べています。そのうえで、中長期的には攻撃に必要な時間や専門性が引き下げられる影響は無視できない、としています。
一方でNHKの報道では、セキュリティ会社から、サイバー攻撃にAIが悪用されている可能性が高いという指摘も出ています。
つまり、「今回の原因はAIだ」とは、まだ誰も言えません。 ただし、攻撃する側の手間が下がっていく方向にあることは、立場の違う専門家がそろって認めています。守る側が「うちは狙われるほど大きくない」と考えてよい時代は、終わりつつあると見たほうがいいでしょう。
ここからが本題です。3つあります。
AIを社内で活かそうとすると、データを1か所に集めたくなります。顧客の情報、問い合わせの履歴、社内の文書。AIに読ませるには、散らばっているより集まっているほうが都合がいいからです。
ところが、集めるということは、漏れたときの範囲も1か所にまとまるということです。
だから、集める前に決めることがあります。何を集めないか。いつ消すか。 退会した人、申し込みを途中でやめた人、本人確認が済んだあとの書類の画像。これらを「念のため」で持ち続けていないか。法令で残す必要があるものは何で、それ以外はいつ消してよいのか。ここは法務や顧問の専門家に確かめてください。
守りを固めるより先に、持つ量を減らす。持っていないデータは、漏れようがありません。
タイムズカーの件では、連携していた外部サービスのIDも漏えいの対象になりました。連携先のJR西日本は、自社のシステムへの不正アクセスはなく、パスワードも流出していないと説明したうえで、ほかのサービスと同じパスワードを使っている人に変更を検討するよう呼びかけています。
1つのサービスの情報が、つながっている別のサービスに波及する。AIツールでも同じことが起きます。
最近のAIツールは、メール・カレンダー・顧客管理・社内の共有ドライブとつながることで力を発揮します。便利になる分だけ、1つのアカウントが、ほかのシステムを開ける鍵になっていきます。誰のアカウントで、どこまでつないでいるのか。一覧にできる会社は多くありません。
宿泊予約の管理システム「TEMAIRAZU」では、不正アクセスの公表に先立って、複数の宿泊施設の予約者に、予約の情報を知っているとみられる不審なメッセージが届いていました。予約の確認やカード情報の再入力を求めて、偽のサイトへ誘導する内容です。
本物の予約情報が書かれた連絡は、受け取った人には見分けがつきません。しかも文面はAIで自然な日本語にできます。
ここで社員に「怪しいメールを見分けましょう」と教えても、限界があります。必要なのは見分ける力ではなく、支払いや情報の入力を求められたら、届いた連絡からではなく、自分で公式の窓口を開いて確かめるという手順です。
大がかりな対策の前に、次の5つを確かめるだけでも、自社の状態が見えてきます。
| 確かめること | 見るポイント |
|---|---|
| 退会者・申込途中の人のデータ | いつまで残しているか。法令上残す必要があるものと、そうでないものを分けているか |
| 本人確認書類などの画像 | 確認が済んだあとも保存し続けていないか |
| AIツールの連携 | どのツールが、誰のアカウントで、どのシステムにつながっているか |
| 自社を名乗る連絡 | 「当社はこういう連絡はしない」を顧客に伝えているか |
| 漏えいが起きた日 | 最初の一日に、誰が何を決めるかが決まっているか |
どれも、セキュリティの製品を買う前にできることです。そして、AIの導入を進めるほど後回しにしにくくなることでもあります。
当社は自社のマーケティングをAIエージェントで運用していますが、外に出る直前には必ず人が確認する形にしています（運用の考え方は /how-we-work/ にまとめています）。AIに何を渡し、何を渡さないかの線引きについては、社内ルールに書くのは「このツールに何を渡してよいか」 や、データの置き場所の話 もあわせてご覧ください。
AIの導入と、データの持ち方を一緒に見直したいときは、お問い合わせからご相談ください。