個人情報が流出したら何をする？2026年10月の事例と自分を守る対策

2026年10月9日公開。事例と公的機関の案内は同日時点で確認しています。本サイトは広告を利用しています。

いつも使う店から「個人情報が流出しました」という通知が届く。
パスワードを変えればいいのか、カードを止めるべきなのか。
ニュースの数字は大きいのに、自分が何をすればいいかは意外と分かりにくい。

2026年10月、身近なサービスで情報流出の発表が続いています。
ただ、氏名と電話番号が漏れた場合と、パスワードやカード情報が漏れた場合では、先にやることが違います。
漏れた情報を確認し、その情報で何ができてしまうかを考えると、必要な対応が見えてきます。

2026年10月に何が起きたのか

同じ「情報流出」という見出しでも、公表内容を読むと違いがあります。
以下は最近の公式発表から、利用者が判断するための部分を抜き出したものです。
一覧に載っていないサービスが安全だと保証するものではありません。

出典：MrMaxの公式発表、シチズン時計の公式発表、大阪市の公式発表。

MrMaxは10月3日に不審なアクセスを確認し、シチズンの委託先の不正アクセスは10月2日から3日にかけて発生したと説明されています。
大阪市の件は8月から9月にかけての不正アクセスです。
公表された日と、攻撃された日は同じとは限りません。

個別の会社だけの問題でもありません。
JPCERT/CCは10月8日の注意喚起で、国内組織の被害が相次いでいることと、把握できている技術情報には限りがあることを説明しています。
IPAも10月9日に事業者向けの対策点検を呼びかけました。
現時点で、これらの事案をすべて同じ攻撃者や同じ原因だと決めつける根拠はありません。

名前を知っている電話が信用できなくなる理由

「〇〇さんですよね。先日の情報流出についてご連絡です」
こんな電話が来たら、本物の担当者だと思ってしまうかもしれません。
これは想定例ですが、氏名と電話番号が漏れた場合に起こり得る場面です。

氏名や利用サービスを知っていれば、連絡の出だしを本物らしく作れます。
そこで「補償金の受け取り」「本人確認」「安全な口座への移動」などを口実に、追加の情報や送金を求める可能性があります。
相手が自分の情報を知っていることを、本人確認の代わりにしない。
この判断が、流出後の二次被害を避ける助けになります。

届いた連絡は、公式アプリや以前から使っているブックマークから確認します。
電話なら一度切り、カード裏面や自分で開いた公式サイトの番号へかけ直す。
送信者名、自然な日本語、表示された電話番号だけで判断するのは難しく、警察庁もメールやSMSのリンクに頼らず正しいサイトへ接続する方法を勧めています。

漏れた情報別に、最初にやること

通知で確認するのは、対象の期間、対象の利用者、情報の項目、そして「確認済み」か「可能性」かの4点です。
自分がその期間に利用したか分からなければ、公式のお知らせに載った問い合わせ窓口で確認します。
連絡待ちの間も、不審な取引やログインがあれば対応を先延ばしにしません。

たとえばMrMaxの発表は、パスワードとカード情報の流出を否定しています。
この発表だけを根拠に、全員がカード再発行をする必要があるとは言えません。
ただし別の偽サイトでカードを入力してしまった人や、不正利用がある人は、その事実に合わせてカード会社へ連絡します。

アカウントを守るなら、メールから確認する

メールは、買い物やSNSのパスワード再設定に使われることが多いアカウントです。
ここに他人が入れると、再設定のメールを読まれるおそれがあります。
使い回しを解消する順番に迷うなら、主なメール、銀行とカード、通販、SNSの順を目安にするのがおすすめです。

ただし、すでに不正利用が起きているサービスの連絡と停止は最優先です。
一覧を上から順に消化するために、進行中の被害を待たせる必要はありません。

1. 公式アプリかブックマークから、セキュリティ設定を開く。
2. 漏れた、入力してしまった、使い回していたパスワードを、そのサービス専用のものに変更する。
3. 不明なログイン端末や連携アプリを確認し、サービスの案内に従ってログアウトや解除を行う。
4. 再設定用のメールと電話番号が、自分のものか確認する。
5. メールの自動転送とフィルタに、知らない設定がないか確認する。

パスワードを変えても、転送設定に知らない宛先が残れば、届くメールを見られるおそれがあります。
Gmail利用者は、Googleの不審なアクティビティの確認とGmailのセキュリティ確認を使えます。
すでにログインできない場合は、公式のアカウント復旧手順へ進みます。

普段の備えは、使い回し解消とパスキー

何十個ものパスワードを、すべて記憶だけで管理するのは大変です。
信頼できるパスワード管理機能でサービスごとに別の長いパスワードを作り、管理機能を使うアカウント自体も保護すると続けやすくなります。
末尾の数字だけ変えるより、生成機能で別々に作る方が管理しやすいでしょう。

IPAは長く複雑で使い回さないパスワードと、多要素認証を勧めています。
認証アプリやSMSなどの追加確認を有効にし、身に覚えのない承認通知は拒否します。
サポートを名乗る相手へ認証コードを伝えたり、相手の指示で承認したりすると、追加確認の効果が失われるおそれがあります。

対応サービスではパスキーも選択肢です。
指紋、顔認証、画面ロックなどでログインでき、Googleはフィッシングへの保護を強められると説明しています。
共有パソコンで作らず、自分が管理する端末で設定し、端末をなくしたときの復旧方法も確認します。

パスキーや多要素認証は、自分のアカウントへの不正ログインを減らすための備えです。
企業が保管する氏名や住所そのものの流出まで防げるわけではありません。
スマホを守る対策と、預けた情報が漏れた後の対応は、両方必要です。

お詫びや補償を装う連絡に注意する

流出の発表を知ると、いつもなら怪しいと感じるメールでも「今回の手続きか」と受け入れやすくなります。
「補償金を受け取るためにカード番号を登録」「個人情報を削除するために手数料を振り込む」「警察の調査なのでLINEへ移動」といった要求は、その場で応じず確認します。

国民生活センターは、個人情報を削除するなどと言って支払いを求める連絡に注意を促しています。
また、警察を名乗ってLINEへ誘導する電話も警告されています。
相手が告げた氏名や住所が正しくても、送金やコード共有の根拠にはなりません。

不審な連絡はスクリーンショット、受信時刻、送信元、要求内容を残します。
その記録をSNSへ公開すると、そこから個人情報が広がることがあるため、公式窓口への相談に使います。

入力してしまった後の対応と相談先

偽サイトを開いた場合は、何をしたかで対応を分けます。
ページを開いた、パスワードを入れた、カード番号を入れた、アプリをインストールした。
覚えている範囲で記録すれば、窓口にも状況を伝えやすくなります。

• 開いただけ：ページを閉じ、追加の入力やダウンロードをやめる。OSとブラウザを更新し、不審な動作が続く場合は相談する。
• パスワードを入力：そのサービスと使い回し先のパスワードを変更し、ログイン履歴と復旧先を確認する。
• カード番号や銀行の認証情報を入力：カード会社や金融機関へ至急連絡する。
• 認証コードを共有、ログインを承認：乗っ取りの可能性を伝え、セッション確認と公式の復旧手順へ進む。
• 不審なアプリや遠隔操作ソフトを入れた：端末の通信を切り、別の信頼できる端末から金融機関やサービスへ連絡する。削除や初期化の前に、状況と証拠の残し方を相談する。

カード会社や銀行の連絡先は、カード裏面、公式アプリ、以前から使っている公式サイトで確認します。
被害の通報と相談は最寄りの警察署、判断に迷う電話は警察相談専用電話の＃9110、消費者トラブルは消費者ホットラインの188へ。
不正取引が進んでいる場合は、まず金融機関へ連絡して被害を止める手続きを相談します。

補償の対象や手続きは会社と状況によって異なります。
「必ず戻る」とは考えず、できるだけ早く連絡し、通知や取引履歴を保存してください。
警察庁のフィッシング被害後の案内でも、サービス提供会社への相談、パスワード変更、警察への通報が示されています。

今日やることを、3つに絞る

情報を預けた企業のシステムを、利用者が直接直すことはできません。
対策をしていても企業側で情報が漏れることはあり、漏えいの責任を利用者だけに背負わせる話ではありません。

それでも、自分のアカウントと支払いを守るために今日できることはあります。

1. 利用サービスの公式発表を読み、自分が対象か、何の情報が対象かを確認する。
2. 主なメールの使い回しをやめ、パスキーか多要素認証、復旧先を確認する。
3. 補償や本人確認の連絡が来ても、公式アプリか自分で調べた窓口から確認する。

次に「〇〇さんですよね」と連絡が来たとき、名前を知っているから信用する必要はありません。
一度切って、公式窓口で確かめる。
そのひと手間を、流出のニュースを読んだ今日から習慣にしておきましょう。

掲載事例は2026年10月9日時点の公式発表に基づきます。調査結果や対象範囲は更新される場合があるため、各社の最新案内を確認してください。