10月の私のメールボックスは、「お詫び」でいっぱいでした。
10月1日にタイムズカー。15日にソースネクスト。16日にバーガーキング。20日にブックオフ。
1か月で4社から、「あなたの個人情報が漏えいしました」というお知らせが届きました。
タイムズカーのときは、免許証を再交付して、信用情報機関に本人申告をしました。その記録はタイムズカーの情報漏えいで免許証を再交付した話に書いています。
でも、4社目のメールを読んだとき、さすがに思いました。1社ずつ追いかけていては、きりがない。
この記事は、守る順番を自分なりに決めて、休みの日に3時間かけて実際にやったことの記録です。
届いた4通の中身
4社の通知に書かれていた、漏えいした（またはその可能性がある）情報を並べてみました。
| 会社 | 届いた日 | 主な情報 | パスワード |
|---|---|---|---|
| タイムズカー | 10月1日 | 氏名・住所・生年月日・電話番号・メールアドレス・運転免許情報 | 復元できない形で保管。漏えいは確認されていない |
| ソースネクスト | 10月15日 | メールアドレス・氏名・住所・電話番号・生年月日など | 漏えいの対象。会社が全会員のパスワードを初期化 |
| バーガーキング（公式アプリ） | 10月16日 | 会員ID・メールアドレス・氏名・生年月日・電話番号など | 漏えいは確認されていない |
| ブックオフ | 10月20日 | 氏名・生年月日・メールアドレス・電話番号・郵便番号・会員番号など | 元に戻せない形（ハッシュ値）で漏えい |
※タイムズカーは私宛ての通知に書かれていた項目です。ほかの3社は通知に書かれていた対象の項目で、登録の内容によって、実際に漏れた項目は人によって違います。 ※4社とも、クレジットカードの情報は漏えいの対象ではないとしています。
並べてみて、気づいたことがあります。
名前・生年月日・電話番号・メールアドレスは、4社ともほぼ同じように漏れている。
これらは、もう取り返しがつきません。
新聞に背中を押された「漏れる前提」
ちょうどその頃、新聞にも関連する記事が続きました。
10月17日の日本経済新聞は、クレジットカードの不正利用の手口が巧妙になっていると伝えていました。日本クレジット協会の集計では、2025年の不正利用の被害額は510.5億円。前の年より減ったとはいえ、500億円を超える水準が続いています。
10月22日には、警視庁が「個人情報はすでに流出している前提で対策を」と注意を呼びかけた、という記事がありました。不正アクセスによる流出の相談が、警視庁に急に増えているそうです。
正直に言えば、少し煽られている気もしました。
でも、私の手元にはお詫びのメールが4通あります。漏れる前提で考えるのは、もう「もしも」ではなく、私にとっては現実でした。
守る順番の考え方
まず、漏れた情報を2つに分けました。
| 種類 | 例 | 対策 |
|---|---|---|
| 取り替えられる情報 | パスワード | 変える |
| 取り替えられない情報 | 氏名・生年月日・電話番号・住所 | 漏れた前提で、だまされない仕組みで守る |
そのうえで、次の順番にしました。
- 使い回しているパスワード（1か所漏れると、ほかも開けられてしまう）
- GoogleとApple（ほかのサービスの「パスワードを忘れた」の届き先になる、いわば親玉）
- お金の口座（銀行・証券・カード・スマホ決済）
- 通知が届いた会社
- 使っていないサービスは退会（漏れる場所そのものを減らす）
やったこと① パスワードの「使い回し」を探す（27件）
最初に開いたのは、iPhoneとMacに入っている「パスワード」アプリです。
このアプリには「セキュリティ」という項目があって、過去の漏えいで出回っているパスワードや、同じパスワードを使い回しているものを、まとめて教えてくれます。
開いてみると、問題があるものが27件ありました。
1件ずつ見ていって、
- 使っていないサービスは、退会するか、連携を解除
- 使っているサービスは、アプリが自動で作ってくれる強力なパスワードに変更
にしました。
ソースネクストは、もう使っていなかったので退会しました。パスワードが漏えいの対象になっていた会社なので、同じパスワードがほかに残っていないかを、いちばん気にしたところです。
自分では覚えられない長いパスワードでも、アプリが覚えてくれるので困りません。覚えられないパスワードにしてしまうのが、いちばん安全だと思います。
やったこと② GoogleとAppleを固める
Googleのアカウントは、2013年から2段階認証にしていました。パスキー（顔認証や指紋でログインする仕組み）も1つ作ってありました。
それでも、見直すと直すところが2つありました。
- パスワードを忘れたときの「再設定用のメールアドレス」が登録されていなかった。ほかにメールアドレスを持っていなかったので、iCloudのメールアドレスを無料で作って登録しました
- ログインしている端末の一覧に、Windowsのパソコンが2台ありました。ほかはMacとiPhoneばかりだったので、一瞬ドキッとしました。よく考えたら、職場で使っているノートパソコンでした。それでも、個人のアカウントが職場のパソコンに残っているのは気持ちのいいものではないので、2台ともログアウトさせました
そして、いちばんの気づきがここでした。
「Googleでログイン」を使っているサービスの一覧を見ると、11件。その中には、このブログを動かしているサービスも入っていました。
つまり、Googleのアカウントが破られると、ブログまで一緒に乗っ取られるかもしれない、ということです。
一覧には、一度試しただけで使っていないサービスや、名前のない連携も残っていました。これらは外しました。
あわせて、ブログを動かしているサービスそのものにも、指紋で開ける鍵（セキュリティキー）を付けました。
Apple
iPhoneの設定から、2ファクタ認証、信頼できる電話番号、サインインしている端末を確認しました。こちらは問題ありませんでした。
やったこと③ お金の口座
私は、カード・証券・銀行・スマホ決済を、楽天でそろえています。
調べてみると、楽天の会員IDが、お金の4つのサービスの鍵を兼ねていました。Googleがブログの鍵を兼ねていたのと同じ形です。
前回の記事でも書いたとおり、ふだんからログインの多要素認証は設定していました。今回も、会員ID・証券・カード・銀行は、すべて設定済みでした。
ただ1つ、スマホ決済のアプリだけ、開くときの顔認証が設定されていませんでした。その場で設定しました。
以前使っていたほかの証券会社の口座は、楽天に一本化したときにすでに解約していました。使っていない口座は、乗っ取られても気づくのが遅れます。使わない口座を残さないことも、守りの一つだと思います。
やったこと④ 通知が届いた会社
- ブックオフ：パスワードを変更（会社からも変更の依頼がありました）
- タイムズカー：アプリに顔認証を設定
- バーガーキング：使っていなかったので退会
やったこと⑤ スマホとパソコン、家のWi-Fi
アカウントを固めたあと、夜にもう一度、手元の機械も見直しました。
スマホ（iPhone）
漏れたのは、電話番号と生年月日です。だから、スマホではこの2つを中心に考えました。
- パスコードが、誕生日や電話番号になっていないかを確認
- 「盗難デバイスの保護」をオン（盗まれてパスコードを知られても、Appleのアカウントを勝手に変えられにくくなる）
- 知らない差出人のSMSを分ける設定をオン（漏れた電話番号には、偽の「不在通知」や「補償のご案内」が届きやすくなる）
- ロック画面に、届いた確認コードを表示しないようにした
- AirDropを「連絡先のみ」に、iOSの自動アップデートをオンに
- 知らない設定（プロファイル）が入っていないか、携帯電話会社のアカウントの守りも確認
生年月日が漏れた今、誕生日のパスコードは「鍵を玄関マットの下に置いている」のと同じです。
パソコン（Mac）
ファイアウォール（外からの勝手な接続を防ぐ壁）を確認すると、オフになっていました。オンにして、AirDropも「連絡先のみ」にしました。
家のWi-Fi
家のWi-Fiの機械を通して入り込まれることもある、と聞いたので、これも確かめました。
私の住まいは、マンションに備え付けのWi-Fiです。調べてみると、機械の管理は提供している会社が行っていて、その機種には公表されている弱点（脆弱性）も見つかりませんでした。暗号化もされていました。
自分で設定できない分、気になるときは、提供している会社に「機械の更新はしていますか」と聞けばいいと分かったのも収穫でした。
やったこと⑥ これから、ずっと
取り替えられない情報は、もう漏れています。だから、これからはこう決めました。
- 漏えいした会社や「補償」を名乗るメール・SMS・電話は、リンクを押さず、電話はいったん切る
- 確かめるときは、公式アプリか、自分で登録したブックマークから入る
かかった時間と、気づいたこと
アカウントの見直しまでで、約3時間かかりました。スマホとパソコン、家のWi-Fiは、その夜に追加で見直しました。
免許証の再交付のように、お金がかかることはありませんでした。かかったのは時間だけです。
やってみて分かったのは、こういうことでした。
漏れたのは4社でも、守るべきなのは、ほかのサービスの鍵を兼ねているアカウントだった。
私の場合、それはGoogleのアカウントと、楽天の会員IDでした。漏えいの通知が届いた会社を1社ずつ追いかけるより、鍵の親玉を固めるほうが、ずっと効きます。
タイムズカーの記事で、「見抜けなくても被害が出にくい仕組みを、先に作っておく」と書きました。今回の3時間は、その仕組みの総点検だったと思っています。
タイムズカーのその後
タイムズカーは10月16日の第4報で、預かっていた運転免許証などの画像を、10月末までにすべて削除すると発表しました。今後は、会員登録の確認が終わったら、すぐに画像を消すルールに変えるそうです。
10月23日には、第5報が出ました。主な内容は次のとおりです。
- 詳しく調べた結果、免許証などの画像が外部に送り出された跡があったのは約146万件。これまでの案内の「約160万件」から絞り込まれました。ほかに約89万件は、画像に触れた跡はあるものの、外へ送り出した跡は見つかっていないそうです
- 外部に送り出された跡がある人には、3,000円相当のお見舞い（現金か金券）。受け取り方と時期は、まだ決まっていません
- 10月23日17時から、自分のどの情報が漏れたかを、マイページで確認できるようになりました
- 免許証の再交付にかかった費用の扱いは、第5報にも書かれていませんでした
私も、マイページで自分の結果を確かめました。
- 漏えいが確認された情報：氏名・住所・生年月日・電話番号・メールアドレス、免許証の番号・種類・有効期限（画像は含まない）
- アクセスはされたが、外部に送り出された跡は見つからなかった情報：免許証の画像
お見舞いの対象は、画像が外部に送り出された跡がある人です。私は対象にならないようです。
画像は外に出ていませんでした。それでも、名前・住所・生年月日・電話番号と免許証の番号は、外に出ています。「守る順番」は、この結果を見ても変わりません。
ひとつ気をつけたいのは、「お見舞い」の連絡です。受け取り方が決まったら対象の人に案内するとのことなので、これから「お見舞いのお受け取り手続き」を名乗る偽のメールやSMSが出てくるはずです。手続きは、メールのリンクからではなく、公式アプリかマイページから確かめるのが安全です。
同じようなメールを受け取った方へ（守る順番のチェックリスト）
- パスワードの使い回しを探す。パスワード管理のアプリの「セキュリティ」で、まとめて確認できます
- GoogleやAppleなど、親玉のアカウントを固める。2段階認証、パスキー、再設定用の連絡先、ログイン中の端末
- お金の口座の多要素認証と、利用のお知らせを確認する
- 通知が届いた会社のパスワードを変える。使っていないなら退会する
- スマホのパスコードが誕生日や電話番号でないか確かめる。「盗難デバイスの保護」をオンにする
- これから届く連絡は、リンクを押さずに公式アプリから確かめる
全部を一度にやらなくても大丈夫です。1番と2番だけでも、守りはぐっと固くなります。
出典
- タイムズモビリティ「『タイムズカーWebシステム』への不正アクセスに関する対応について（第4報）」2026年10月16日
- 同「『タイムズカーWebシステム』への不正アクセスによる個人情報漏えいに関するご報告と今後の対応について（第5報）」2026年10月23日
- ソースネクスト・株式会社ビーケー・ジャパン（バーガーキング）・ブックオフグループホールディングスから筆者に届いた通知メール（2026年10月15日・16日・20日）
- ブックオフグループホールディングス「不正アクセスによる個人情報漏えいに関するお詫びとお知らせ（第2報）」2026年10月13日
- 一般社団法人日本クレジット協会「クレジットカード不正利用被害の集計結果について」（2026年3月公表）
- 日本経済新聞 2026年10月17日付「クレカ不正利用 巧妙に」、10月22日付の不正アクセスに関する記事
※本記事の情報は2026年10月26日時点のものです。各社の発表や対応は、その後変わることがあります。
※本記事は筆者個人の体験と見解に基づくものです。 個別の被害や補償については、各社の窓口や、消費生活センター・警察相談専用電話（#9110）などの公的な相談窓口にご相談ください。
