個人情報漏洩のニュースを見たとき、「クレジットカード情報は含まれていません」という説明に、少し安心した経験がある人もいるのではないでしょうか。確かに、カード番号やセキュリティコードが流出していなければ、漏れた情報をそのまま使ってカード決済される危険は抑えられます。しかし、それだけで「被害につながらない」と判断するのは早いでしょう。

個人情報保護委員会が2026年7月に公表した令和7年度年次報告では、個人データの漏洩などに関する報告の処理件数は17,139件でした。そのうち、不正アクセスなど「不正の目的をもって行われたおそれのある個人データの漏洩等」は22.3％を占めています。氏名や住所、電話番号、メールアドレスは、それだけで銀行口座からお金を引き出せる情報ではありません。それでも犯罪者にとっては、本人へ近づき、信用させ、別の情報を聞き出すための材料になります。個人情報漏洩を見るときは、「何が盗まれたか」だけでなく、「盗まれた情報を使って次に何ができるか」まで考える必要があります。

「カード情報なし」でも安心できない個人情報漏洩

この問題を分かりやすく示しているのが、2026年9月に公表されたタイムズカーの不正アクセスです。漏洩したアカウントは約660万件で、氏名、住所、生年月日、電話番号、メールアドレス、運転免許情報などが対象となりました。一方、クレジットカード情報については漏洩していないことが確認されています。カード情報が含まれていないため、危険性が低いようにも見えますが、氏名、連絡先、生年月日などがまとまって流出した点は軽視できません。

デジタル庁でも2026年9月、ガバメントソリューションサービスへの不正アクセスにより、約24.6万件の個人情報が漏洩した可能性があると公表しました。内訳には氏名約23.6万件、メールアドレス約23.1万件、電話番号約9.4万件などが含まれています。マイナンバーや金融機関口座情報などは含まれていませんでしたが、デジタル庁自身が、漏洩した情報がなりすましメールやフィッシングメールなどに悪用される可能性があるとして注意を呼びかけています。個人情報保護委員会も、住所や電話番号、メールアドレスだけの漏洩が直ちに財産的被害を生じさせるとは限らないとしています。つまり、「すぐにお金を盗まれる情報ではない」ことと、「安全な情報である」ことは別の話といえるでしょう。

漏れた情報は「次の情報」を盗むために使われる

なぜ氏名やメールアドレスだけでも注意が必要なのでしょうか。理由は、漏洩した情報を使えば、本人が信じやすい連絡を作れるからです。知らない相手から突然「アカウントを確認してください」と届けば警戒できても、自分の氏名や利用しているサービスを知っている相手から「○○様、登録情報の確認が必要です」と連絡された場合、判断は難しくなります。電話番号が分かっていればSMS、生年月日や住所まで分かっていれば、より本人向けに見える内容を作る材料にもなります。

ここから「本人確認が必要です」「不正利用を検知しました」「決済情報を更新してください」と偽サイトへ誘導し、IDやパスワード、カード番号を入力させれば、犯罪者は最初からカード情報を持っている必要がありません。フィッシング対策協議会によると、2026年8月に寄せられたフィッシング報告は82,338件で、前月から約24.5％増えました。EC系が約43.3％、クレジット・信販系が約29.0％を占め、AmazonやApple、ANAなどをかたるケースが多く報告されています。注文や配送、返金、契約更新、本人認証、ポイントの有効期限といった、普段の生活に入り込みやすい文面も使われています。漏洩した個人情報は「盗まれたデータ」で終わらず、次の情報を本人から引き出す道具になると考えたほうがよいでしょう。

被害がすぐに出ないことが問題を分かりにくくする

個人情報漏洩には、もう一つ見落とされやすい特徴があります。情報が漏れた日と、実際に被害が起きる日が同じとは限らないことです。漏洩直後には何も起こらず、しばらくしてからフィッシングメールが届く可能性もあります。過去に別のサービスから流出した情報や、SNSなどで公開している情報と組み合わせられれば、本人に関する情報が少しずつ補われることも考えられます。

2026年9月に公表されたムラウチドットコムの事案では、約771万件の氏名、住所、電話番号、メールアドレス、生年月日、性別などの個人情報漏洩が確認された一方、クレジットカード情報やパスワードは含まれていませんでした。デジタル庁の事案でも、現時点では関連する二次被害は確認されていないと公表されています。しかし、「現時点で被害が確認されていない」という事実は、将来も利用されないことを意味するものではありません。漏洩したデータは回収が難しく、時間がたってから別の攻撃に使われる可能性まで考えておく必要があります。

情報を組み合わせた攻撃が厄介なのは、受け取った側が「なぜ自分のことを知っているのか」と感じ、相手を信用しやすくなる点です。氏名とメールアドレスだけなら警戒できても、住所や生年月日、過去の利用情報などが加われば印象は変わります。犯罪者が欲しいのは、必ずしも最初から完全な個人データではありません。本人が反応する程度の情報があれば、メールやSMSを入口として不足している情報を追加で盗むことが可能になります。ここに、カード番号が含まれない漏洩を軽く見られない理由があります。

漏洩後は「何が漏れたか」に合わせて備える

企業から漏洩の連絡を受けた場合、「カード情報は対象外」という一文だけで判断せず、氏名、メールアドレス、電話番号、住所、生年月日、ID、パスワードなど、実際に何が対象になったのかを確認したいところです。メールアドレスが漏れていればフィッシングメール、電話番号ならSMSや電話によるなりすまし、IDやパスワードが関係していればアカウントへの不正ログインというように、漏れた情報によって警戒すべき攻撃も変わります。

不審なメールやSMSが届いた場合は、本文にあるリンクからログインせず、普段使っている公式アプリやブックマークからサービスを確認するほうが安全です。同じパスワードを複数のサービスで使い回しているなら、それぞれ異なるものへ変更し、多要素認証やパスキーを利用できるサービスでは設定しておくことで、不正ログインのリスクを下げられると考えられます。

「クレジットカード情報は漏れていない」という説明は、安心材料の一つにはなります。ただし、それだけで個人情報漏洩の危険度を判断することはできません。氏名やメールアドレス、電話番号は、直接お金を動かす情報ではなくても、本人を見つけ、接触し、信用させるために使える情報です。

個人情報漏洩の怖さは、一度の流出だけで被害が完成するとは限らないところにあります。漏洩した情報から偽メールが届き、偽サイトへ誘導され、そこでパスワードやカード情報を入力してしまう。こうした流れまで含めて考えると、「カード番号が漏れていないから大丈夫」とは言い切れません。これからは、漏れた情報そのものの価値だけでなく、「その情報を使えば次に何を狙えるのか」という視点を持つことが、個人情報漏洩から身を守る備えになるといえます。