企業の情報漏洩が相次ぐ。AI時代に考えたい情報管理

2026年10月、企業のサービスやシステムに対する不正アクセスと、個人情報の漏洩に関する発表が相次いでいます。

旅行予約サイトの「スカイチケット」を運営するアドベンチャーや、JR東日本、佐川急便なども、情報漏洩または漏洩の可能性について公表しました。

こうした問題は、大企業だけに関係するものではありません。個人事業主や小規模事業者も、顧客情報を管理したり、クラウドサービスや生成AIを利用したりする以上、情報の扱い方を考える必要があります。

特に生成AIは、文章作成や画像制作、Webサイト制作などを効率化できる一方、入力する情報や外部サービスとの連携方法によっては、機密情報の管理に注意が必要です。

この記事では、最近公表された企業の事例を整理し、AIを活用する個人や事業者が取り組みたいセキュリティ対策を紹介します。

最近公表された主な情報漏洩・不正アクセス事例

1. スカイチケット：複数の経路から不正アクセス

旅行予約サイト「skyticket（スカイチケット）」を運営する株式会社アドベンチャーは、2026年10月9日、不正アクセスによる顧客情報の流出と、流出のおそれについて公表しました。

同社の発表によると、今回の事案は大きく3つに分かれています。

1つ目は、同社サーバーへの不正アクセスです。 2026年10月2日から4日にかけて不正アクセスが発生し、約1,464万件の顧客情報が対象となりました。このうち、約413万件には会員のログインパスワードが含まれていました。公表された情報には、氏名、生年月日、メールアドレス、電話番号、住所などがあります。パスワードはハッシュ化された状態で保存されていたと説明されています。

2つ目は、業務管理システムへの不正アクセスです。 システムの脆弱性が悪用され、氏名、電話番号、返金先の口座情報など、17,780件の情報が流出した、または流出したおそれがあると公表されました。

3つ目は、バス予約情報の閲覧です。 予約完了ページがログインなしで表示できる状態になっており、約12,000件の予約情報が第三者に閲覧された、または閲覧されたおそれがあるとしています。

同社は、不正アクセス経路の遮断や脆弱性への対策を実施。保存済みクレジットカードによる支払いとカード情報の保存機能も停止したと発表しました。なお、同社は今回の事案でクレジットカード情報とパスポート画像は流出していないと説明しています。

この事例で注目したいのは、同じ企業のサービスでも、複数の異なる経路から情報にアクセスされる可能性があるという点です。

システムの脆弱性への対応に加え、管理画面の権限設定、予約情報の公開範囲、データの保管方法など、複数の観点から対策する必要があります。

参考：スカイチケット運営会社による公式発表

2. JR東日本：メール配信用の外部サービスを通じた漏洩の可能性

JR東日本は2026年10月9日、IDCフロンティア社で発生した不正アクセスに関連して、メール配信用の外部サービスからメールアドレス等が漏洩した可能性について発表しました。

この事例で重要なのは、自社のシステムだけでなく、外部のサービスを利用している場合にも情報管理上のリスクが生じるという点です。

企業は、顧客へのお知らせやキャンペーン情報などをメールで配信するために、外部の配信サービスを利用することがあります。こうしたサービスは業務効率化に役立つ一方、委託先や関連するシステムで問題が発生すると、利用企業の顧客情報にも影響が及ぶ可能性があります。

ただし、今回の発表をもって、JR東日本のすべてのシステムが不正アクセスを受けた、あるいは鉄道運行システムが侵害されたと解釈するのは適切ではありません。影響を受けた情報や範囲は、同社の公式発表に基づいて確認する必要があります。

個人事業主や小規模事業者も、メール配信サービス、クラウドストレージ、顧客管理ツールなどを利用する場合は、サービス提供者のセキュリティ対応やデータの取り扱いを確認しておくことが大切です。

参考：JR東日本公式サイト・ニュースリリース

3. 佐川急便：荷物問い合わせサービスへの不正アクセス

佐川急便は2026年9月30日、Webサイトの「お荷物問い合わせサービス」への不正アクセスと、個人情報が流出した可能性について公表しました。その後、10月9日にも調査状況に関する続報を発表しています。

対象となる可能性がある情報には、荷物の送り主や届け先の氏名・住所などのほか、運賃契約に関する顧客情報や、Webサービス「スマートクラブ」の登録情報が含まれています。

同社は、対象となる件数や範囲について調査を継続しており、10月9日時点では確定した件数を公表していません。また、現時点で、流出した可能性のある情報が不正に利用された事実は確認されていないと説明しています。

被害拡大を防ぐため、同社は対象システムへの外部アクセスを遮断し、監視体制を強化。アクセス制御や脆弱性管理、権限管理などの点検も進めるとしています。

配送サービスでは、送り主と届け先の情報など、日常の取引に必要な個人情報が扱われます。こうした情報が第三者に知られると、配送会社を装った詐欺メールやSMS、電話などに悪用されるおそれがあります。

この事例からは、不正アクセスを防ぐだけでなく、情報の影響範囲を調査し、利用者へ適切に説明することも重要だと分かります。

参考：佐川急便公式発表・2026年10月9日

4. タイムズカー：会員の本人確認書類など約160万アカウント分の情報漏洩

カーシェアリングサービス「タイムズカー」を運営するタイムズモビリティは、2026年9月25日、Webシステムへの不正アクセスにより、会員の個人情報が外部に漏洩した可能性があると公表しました。

その後の調査結果として、9月29日には、運転免許証画像などの本人確認書類が漏洩したアカウント数が約160万件に上ることを確認したと発表しています。

漏洩が確認された情報には、運転免許証画像のほか、現住所確認書類、学生証画像、家族確認書類などが含まれます。また、同社は第1報で、氏名、住所、生年月日、電話番号、メールアドレス、会員番号、免許情報、本人確認書類、法人会員情報、連携サービスIDなどが漏洩した可能性があると説明しています。

同社は不正アクセス経路の遮断や攻撃元との通信遮断を実施し、外部専門機関とともに調査を進めています。

この事例で特に注意したいのは、氏名やメールアドレスだけでなく、本人確認に使われる書類画像も情報漏洩の対象となったことです。

本人確認書類には、氏名や住所、生年月日、顔写真など、複数の個人情報が含まれます。こうした情報が悪用されると、なりすましや標的型の詐欺などにつながるおそれがあります。

事業者は、本人確認書類を保存する必要性を見直すとともに、保管期間、アクセスできる担当者、データの暗号化、不要になったデータの削除などを検討することが重要です。

利用者側も、タイムズカーを装った不審なメールやSMS、電話に注意し、身に覚えのない連絡からパスワードや認証コード、クレジットカード情報などを入力しないようにしましょう。

参考：タイムズカー公式発表・第3報

情報漏洩はなぜ起きるのか

今回の事例を見ても、情報漏洩の原因はひとつではありません。主に次のような要因が考えられます。

不正アクセスや認証情報の悪用

攻撃者がアカウントやシステムに不正にアクセスし、保存されているデータを閲覧・取得するケースです。

パスワードの使い回し、多要素認証の未設定、不要なアカウントの放置などは、リスクを高める要因になります。

システムや設定の不備

プログラムの脆弱性や、アクセス権限・公開範囲の設定ミスなどが原因となる場合もあります。

予約情報をログインなしで閲覧できる状態になっていたケースのように、システムが想定どおりのアクセス制限を実現できているか、継続的に確認することが大切です。

外部サービスや委託先に関するリスク

メール配信や顧客管理、ファイル共有など、事業で利用するサービスが増えるほど、管理する情報の保管場所も増えます。

自社で直接管理するシステムだけでなく、外部サービスがどのように情報を保管し、アクセスを制限しているかも確認する必要があります。

生成AIの利用で情報漏洩リスクは高まる？

生成AIは、利用しただけで必ず情報漏洩が起きるわけではありません。ただし、使い方やサービスの設定によっては、個人情報や機密情報の取り扱いに注意が必要です。

例えば、次のような使い方にはリスクがあります。

• 顧客の氏名、住所、電話番号を含むリストを、そのまま生成AIに入力する

• 未公開の企画書や取引先との契約内容を、利用条件を確認せずに入力する

• 会社が許可していないAIサービスに、社内の機密情報を送信する

• AIツールと外部サービスを連携する際、必要以上のアクセス権限を与える

生成AIサービスによって、入力データの取り扱い、学習への利用、保存期間、管理機能などは異なります。サービス名だけで安全性を判断するのではなく、利用規約やプライバシー設定、法人向けプランの管理機能などを確認しましょう。

また、AIで生成したプログラムをWebサイトやアプリに組み込む場合は、便利に動作するかだけでなく、アクセス権限や入力値の検証など、セキュリティ上の問題がないかも確認する必要があります。

個人事業主・小規模事業者が取り組みたい5つの対策

大規模なセキュリティ部門がない事業者でも、基本的な対策から始められます。

1. AIに入力してよい情報のルールを決める

生成AIに入力してよい情報と、入力してはいけない情報を分けましょう。

顧客情報をもとに文章を作成したい場合は、個人を特定できる情報を削除したり、架空のデータに置き換えたりする方法があります。

2. 多要素認証を設定する

メール、クラウドストレージ、Webサイト管理画面、生成AIサービスなど、重要なアカウントには多要素認証を設定しましょう。

パスワードだけでなく、認証アプリなど別の方法で本人確認を行うことで、パスワードが漏れた場合のリスクを軽減できます。

3. アクセス権限を必要最小限にする

クラウドストレージや業務ツールでは、全員にすべての情報を見せる必要はありません。

外部共有リンクの公開範囲を確認し、不要になったアカウントや共有設定を定期的に見直しましょう。AIと外部ツールを連携させる場合も、必要なデータや操作だけに権限を限定することが重要です。

4. 利用する外部サービスを定期的に見直す

顧客管理、メール配信、予約管理、ファイル共有など、事業で利用しているサービスを一覧にしておきましょう。

それぞれのサービスについて、どの情報を保存しているか、誰がアクセスできるか、セキュリティに関する通知を受け取れるかを確認します。

5. 万が一の対応手順を決めておく

不正アクセスや情報漏洩が疑われたときに、誰が何をするのかを事前に整理しておくことも重要です。

1. 影響を受けたアカウントやシステムを確認する

2. 必要に応じて認証情報を変更し、不正なアクセスを遮断する

3. 関係するサービスの運営者や専門家に相談する

4. 漏洩した可能性のある情報と影響範囲を確認する

5. 必要に応じて顧客や関係機関への連絡などを行う

実際の対応は事案によって異なります。個人情報の漏洩が疑われる場合は、個人情報保護法上の報告・本人通知などが必要になるケースもあるため、専門家や関係機関に確認しましょう。

AIを安全に使うことも、ビジネスの一部

生成AIは、文章作成、画像制作、Webサイト制作、アプリ開発など、個人がビジネスを始める際にも役立つ技術です。

一方で、顧客情報や事業上の機密情報を適切に管理できなければ、信用を失ったり、事業の継続に影響したりする可能性があります。

大切なのは、AIを怖がって使わないことではなく、扱う情報を理解し、利用するサービスの条件を確認し、必要な対策を取りながら活用することです。

まずは、AIに入力する情報のルールを決めること、多要素認証を設定すること、外部サービスの共有範囲を見直すことから始めてみましょう。

AIの便利さを活かしながら、安心して事業を続けられる環境を整えていくことが大切です。

参考情報

• スカイチケット運営会社：不正アクセスによるお客様情報の流出に関するお知らせ

• JR東日本：ニュースリリース

• 佐川急便：不正アクセスによる個人情報流出の可能性について（2026年10月9日）

• GMOリサーチ＆AI：infoQへの不正アクセスに関するお知らせ

※本記事は2026年10月11日時点で公表されている情報をもとに作成しています。被害件数、対象範囲、調査状況などは今後更新される可能性があります。最新情報は各社の公式発表をご確認ください。