情報漏えいとは、本来は見られない人に、情報が渡ったり見られたりすることです。外部からの攻撃だけでなく、共有設定の不備やメールの誤送信でも起こります。何が漏れたかによって、必要な対処が変わります。
「情報漏洩」とも書き、読み方と意味は同じです。
ニュースでこの言葉を見ても、それだけでは「自分の何が危ないのか」は分かりません。パスワードが漏れた場合と、メールアドレスだけが漏れた場合では、起こり得ることが違うからです。
見るところは、何が原因か、どの情報が対象か、どこまで確認されたか。この3つを分けると、長いお知らせも読みやすくなります。
情報漏えいとは、本来見られない人に情報が渡ること
たとえば、友人3人だけに見せるつもりで旅行の写真を共有したとします。指定した3人が見るのは、予定した共有です。共有の設定を間違えて、知らない人も開けるようになっていたら、予定した範囲を越えて情報が広がるおそれがあります。
インターネット上の情報は、コピーされても元の場所に残ります。財布をなくしたときのように「手元から消えた」とは限りません。写真もアカウントもいつもどおり使えているのに、情報だけが別の人に渡っていることがあります。
許可された相手だけが見られる
許可していない人も見られる・受け取れる
理解のための模式図です。閲覧できる状態と、実際に誰が見たかの確認は分けて考えます。
対象になるのは、名前や住所といった個人の情報だけではありません。公開前の企画、社内の資料、取引先の情報など、限られた人だけが扱う情報も含まれます。紙の書類の置き忘れもあるため、コンピューターだけの問題でもありません。
一方、お知らせに「外部から閲覧できる状態だった」と書かれていても、全員が実際に中身を見たと決まったわけではありません。見られる状態だったこと、閲覧の記録があること、何が持ち出されたか分かったことは、それぞれ確認の段階が異なります。
「流出の可能性」「調査中」という表現は、無事が確定したという意味でも、全情報の流出が確定したという意味でもないのです。
情報漏えいの原因は攻撃だけではない
情報漏えいという結果に至る道は、一つではありません。主な例を、入口の違いで整理します。
| 原因 | どこで問題が起きる？ | 具体的な場面の例 |
|---|---|---|
| 不正アクセス | 許されていない人がシステムなどに入る | 盗んだログイン情報や、ソフトの弱点を使って情報を読み出す |
| 共有・公開設定のミス | 見せてよい範囲が広すぎる | 限定公開のつもりの資料が、リンクを知る人なら誰でも開ける |
| 誤送信・誤添付 | 届ける相手や送る内容を間違える | 別の人に顧客一覧を送る、不要な資料まで添付する |
| 紛失・不正な持ち出し | 情報を保存した物やデータの管理を外れる | 書類を置き忘れる、許可なく名簿をコピーして渡す |
この表は原因の例であり、発生件数の多い順ではありません。紛失などが判明した段階では、実際に誰かが情報を見たかどうか分からない場合もあります。
IPAの情報漏えいに関する解説でも、誤送信や設定ミス、情報を保存した物の紛失が取り上げられています。「外から攻撃されたか」だけを見ていると、それ以外の入口を見落とします。
不正アクセスと情報漏えいは、同じ言葉ではない
不正アクセスは、許可されないアクセスという行為を指します。情報漏えいは、その結果などとして情報が外へ渡ることを指します。
不正アクセスがあっても、情報の持ち出しが確認されたとは限りません。反対に、正規の利用者が宛先を間違えれば、不正アクセスなしでも情報漏えいは起こります。
原因が異なれば、予防も変わります。共有範囲の間違いには公開設定の見直しが必要で、送信ミスには宛先と添付内容の確認が必要です。パスワードを長くするだけですべてを防げるわけではありません。
ソフトの弱点が入口になる仕組みは、脆弱性とは何かで説明しています。弱点が見つかった段階と、その弱点を使った侵入が起きた段階も、分けて読めます。
情報漏えいでパスワード・住所・写真はどう違う？
「個人情報が漏れた」と聞いたら、まず項目を確かめてください。漏れた情報の種類によって、注意することが変わります。
| 対象の情報 | 考えられる影響 | お知らせで確かめたい点 |
|---|---|---|
| パスワードなどのログイン用情報 | 他人にアカウントを使われるおそれ | 対象の情報、提供元による無効化、利用者に必要な操作 |
| メールアドレス・電話番号 | なりすましの連絡や、だますための接触に使われるおそれ | 氏名や利用サービス名なども一緒に漏れたか |
| 氏名・住所・購入履歴 | 本人をよく知る相手のように装われる、生活上の情報を知られるおそれ | どの時期の、どの項目が対象か |
| 写真・会話・共有資料 | 非公開の内容や、写り込んだ情報を知られるおそれ | 画像本体なのか、画像の場所を示す情報などなのか |
これは起こり得る影響の整理です。項目が違えば、相手に知られたことも、確かめたいことも変わります。
メールアドレスが漏れることと、メールを読まれることは違う
メールアドレスは、メールを届ける先を表す情報です。それを知っているだけで、受信箱を開いたり、保存されたメールを読んだりできるわけではありません。連絡先が分かることと、本人としてログインできることは別です。
ただし、「アドレスだけなら何も困らない」とも言い切れません。知らない相手から連絡を受ける入口になり、氏名や利用サービス名と組み合わされれば、本物らしい偽メールを作る材料にもなります。
たとえば、買い物をした店の名前と自分の名前が書かれた「注文内容の確認」が届いたら、心当たりがあるため信じやすくなるかもしれません。これは仕組みを説明するための架空の例です。自分の情報を知っている相手だからといって、その店の担当者だとは限りません。
フランス政府のService Publicが2026年8月28日に公開した案内も、流出した氏名や連絡先などを使うことで、偽のメッセージや電話がもっともらしく感じられる点を説明しています。
一方、パスワードなどのログイン時の本人確認に使う情報が漏れた場合は、不正なログインにつながるおそれがあります。実際の影響は、どの情報が対象か、パスワード以外の確認を重ねる仕組みがあるか、提供元が情報を無効にしたかによっても変わります。
お知らせでは「メールアドレス」と「パスワード」を別の項目として読んでください。パスワード変更は漏れた連絡先のコピーを消す操作ではなく、偽の連絡を見分ける代わりにもなりません。必要な操作は、提供元が示す対象と手順に合わせます。
写真の周辺情報と、画像そのものも分けて読む
写真も、風景だけなのか、住所や仕事の資料が写っているのかで影響が違います。「画像に関する情報」と「画像の中身」も同じではありません。保存日時や画像のURLなど、中身の周辺にある情報を「メタデータ」と呼びます。URLの扱いによっては、そこから画像にたどり着ける場合もあるため、中身ではないから無害、とも言い切れません。
実例として、Helpfeelが2026年10月21日に公表したGyazoの調査報告では、9月の不正アクセスについて、データベースからの情報流出と画像ファイルへのアクセスを分けて説明しています。一部の画像の閲覧・取得が判明した対象者には、画像を明示して個別に連絡したとされています。
このように、事件の名前だけで影響を一括りにせず、自分が対象か、何が対象かまで読めることが大切です。
情報漏えいとサービス停止を混同しない
使っているサービスが開けなくなると、「情報が盗まれたのでは」と心配になるかもしれません。しかし、停止には機器の故障や通信の障害など、さまざまな原因があります。被害を広げないため、運営側が自ら止めることもあります。
使えない → 復旧して使えるようになる
外へ渡ったコピーは、復旧だけでは回収できない
停止の原因は攻撃とは限りません。停止や復旧だけから、漏えいの有無は判断できません。
サービス停止だけを見て情報漏えいを断定することはできません。反対に、復旧して使えるようになったことだけで、漏れた情報の問題まで解決したとも判断できません。コピーが外に渡っていれば、サービスを直しても、そのコピーが自動で消えるわけではないからです。
お知らせを読むときは、次の3行に分けて考えてみてください。
- 対象の情報： 名前、パスワード、写真など、何についての説明か。
- 確認できたこと： 閲覧・持ち出しが確認されたのか、可能性を調べているのか。
- 自分との関係： 対象期間や利用者の条件に当てはまるか。個別の案内があるか。
一度に事件の仕組みを全部理解する必要はありません。「サービスが直ったか」と「自分の情報にどんな影響があるか」を分けるだけでも、次に読むべき案内を選びやすくなります。
自分宛てに通知が届いているなら、情報漏えいのお知らせを確認し、対処を選ぶ順番へ進んでください。通知内のリンクへ急いで進まず、普段使う公式アプリなどから告知を確認するところから始めます。
