30秒で分かる結論
利用しているサービスから「個人情報が漏えいした可能性がある」という通知が届いたときは、まず通知の内容をよく読み、対象となった情報の種類（氏名・メールアドレス・パスワードなど）を確認することが最初のステップです。パスワードが対象に含まれている場合は、そのサービスのパスワードを変更し、同じパスワードを他のサービスでも使い回している場合は、それらのサービスのパスワードもあわせて変更する必要があります。総務省の「国民のためのサイバーセキュリティサイト」やJPCERT/CCは、こうした漏えい後の対応や、日頃からのパスワード管理の重要性を呼びかけています。
まず初めに
結論から言う。「情報漏えいのお知らせ」というメールを見た瞬間の焦りにつけ込むのが、便乗フィッシングの得意技だ。本物の通知に慌ててリンクを叩いた結果、偽サイトにパスワードを入力する、という本末転倒が実際に起きている。深呼吸して、リンクではなく自分の指で公式サイトのアドレスを打ち込む。それだけで大半の二次被害は避けられる。
通知が届いたらまず何を確認するか
まず確認したいのは、通知に書かれている「漏えいした可能性がある情報の種類」です。氏名や住所だけなのか、パスワードやクレジットカード情報まで含まれているのかによって、必要な対応が変わります。パスワードが対象に含まれている場合は、そのサービスへの不正ログインを防ぐため、速やかにパスワードを変更することが基本の対応です。
次に確認したいのは、通知そのものが本物かどうかです。実際の情報漏えい事案が発生すると、それに便乗して「あなたの情報が漏えいしました。こちらのリンクからパスワードを再設定してください」といった偽のメール（フィッシングメール）が送られてくることがあります。通知メールに記載されたリンクを直接クリックするのではなく、サービスの公式サイトを自分でブラウザに入力してアクセスし、そこから正規の手順でパスワードを変更する方が安全です。
パスワードを変更するときのポイント
JPCERT/CCは、複数のインターネットサービスで同じID・パスワードを使い回さないよう、継続的に呼びかけています。1つのサービスからパスワードが漏えいすると、同じパスワードを使っている他のサービスにも不正にログインされる「パスワードリスト攻撃」の被害につながる可能性があるためです。
パスワードを変更する際は、他のサービスで使っていないパスワードを新しく設定することが重要です。JPCERT/CCは、長め（12文字以上が目安）で、大文字・小文字・数字・記号を組み合わせたパスワードを設定し、生年月日や単純な文字の並びを避けることを推奨しています。パスワードを覚えきれない場合は、紙にメモして人目に触れない場所に保管する、パスワード管理ツールを使うといった方法も紹介されています。あわせて、対応しているサービスでは二段階認証を設定しておくと、万一パスワードが漏れても不正ログインを防ぎやすくなります。
気をつけたい二次被害
総務省の「国民のためのサイバーセキュリティサイト」は、氏名・性別・生年月日・住所といった個人を特定できる情報に加え、電話番号・メールアドレス・職業・家族構成といったプライバシーに関わる情報が第三者に知られた場合、情報が拡散したり、誹謗中傷やなりすましに使われたり、犯罪に利用されたりする可能性を否定できないと説明しています。
情報漏えいの通知を受けた後は、身に覚えのない請求や、心当たりのない相手からの不自然な連絡が増えていないか、しばらく注意しておくとよいでしょう。特に、漏えいした情報をもとに本人になりすまして別のサービスへ問い合わせたり、電話やメールで個人情報の追加提供を求めたりする手口もあるため、心当たりのない連絡には安易に個人情報を伝えないことが大切です。
落ち着いて対応するための順番
情報漏えいの通知は、内容を理解する前に不安が先に立ってしまいがちです。焦って手当たり次第に対応するより、①漏えいした情報の種類を確認する、②公式サイトを自分で開いてパスワードを変更する、③同じパスワードを使っている他のサービスも見直す、④しばらく身に覚えのない連絡に注意する、という順番で進めると、抜け漏れなく対応できます。この順番をあらかじめ知っておくだけで、実際に通知を受け取った時の混乱はかなり減らせます。
初心者が知っておくべきこと
「フィッシング」とは、実在する企業やサービスになりすました偽のメールやWebサイトを使い、ID・パスワードやクレジットカード情報などを盗み取ろうとする手口です。情報漏えい事案が報道されたタイミングを狙って、便乗したフィッシングメールが送られてくることもあるため、通知メールの送信元アドレスやリンク先のURLをよく確認する習慣が役立ちます。
「パスワード管理ツール」は、サービスごとに異なる複雑なパスワードを覚える代わりに、安全に保存・呼び出しをしてくれるソフトウェアです。パスワードの使い回しを避けたい場合、こうしたツールを使うと、サービスごとに異なるパスワードを設定しやすくなります。
よくある質問
Q. 通知が来ていないので大丈夫だと考えてよいですか？
A. サービスによって、漏えいの調査状況や対象者への通知方法・時期は異なります。総務省・JPCERT/CCの呼びかけは、特定の事案の通知を受けたかどうかにかかわらず、日頃からパスワードを使い回さないようにすることを基本の対策として挙げています。通知の有無だけに頼らず、日頃からのパスワード管理を見直しておくことが安全です。
Q. パスワードを変更すれば、それだけで安心してよいですか？
A. パスワードの変更は基本的な対応の一つですが、それだけで完全に安全というわけではありません。あわせて二段階認証を設定すること、そして漏えいした情報をもとにした不審な連絡に注意を続けることも、被害を防ぐ上で重要です。
IT Postの見方
IT Postでは、情報漏えいの通知は利用者にとって身近でありながら、実際に何をすればよいか分かりにくい場面の一つだと考えます。通知の文面をきっかけに慌ててリンクをクリックしてしまうと、かえって便乗型のフィッシング被害に遭うリスクもあるため、落ち着いてサービスの公式サイトから対応する習慣を、通知が来ていない人も含めて日頃から身につけておくことが大切だと考えます。
今後どうなりそうか
企業の情報漏えい事案は今後も一定の頻度で発生し続けるとみられます。総務省やJPCERT/CCは、個々の事案への対応だけでなく、パスワードの使い回しをやめる、二段階認証を使うといった日頃からの基本対策を継続的に呼びかけています。IT Postでも、実際の漏えい事案を報じる際には、あわせてこうした基本的な対応方法を確認できるようにしていきます。
