個人情報は漏洩する前提で守る。今すぐできる7つの対策と、被害を最小限にする方法

「また情報漏洩か」。最近の報道に触れるたびに、そう感じるようになった。企業がどれだけセキュリティに力を入れても、利用者がその管理状況を完全に把握することはできない。

2026年10月7日には、個人情報保護委員会が大規模な漏えい等事案を踏まえた注意喚起を公表した。ただし、これだけで「漏洩件数が過去最多」「毎年急増している」と断定できるわけではない。件数の時系列比較は別の統計が必要だ。

個人として重要なのは、企業の管理を信じるかどうかという二択ではない。「自分の情報はいつか漏洩するかもしれない」と考え、漏洩してもアカウントや資産が簡単に奪われない仕組みを作ることだ。悲観するための話ではなく、日常生活で実践できる現実的な防衛策を整理したい。

「漏洩したら即アウト」ではない。何が漏れたかで危険は変わる

まずは「個人情報」という大きなくくりをやめたい。漏洩したものが氏名・住所なのか、ログイン情報なのか、カード番号なのかで、対処の緊急度はまるで違う。

漏洩した情報	主な懸念	初動の考え方
氏名・住所・電話番号	詐欺連絡、なりすましを狙った接触	不審な連絡や身に覚えのない請求を警戒
メールアドレスのみ	フィッシング、迷惑メール	不審なリンクを開かない。漏洩しただけで全パスワード変更が必須とは限らない
IDとパスワード	不正ログイン、他サービスへの連鎖被害	該当パスワードと使い回し先を速やかに変更
クレジットカード情報	不正決済	カード会社に直接相談し、利用停止・再発行の要否を確認
免許証など本人確認書類の画像	名義冒用、契約申込への悪用	流出元や必要な窓口に相談し、CICの本人申告制度も検討

被害が起こるかどうかは漏洩内容、追加で盗まれた情報、各サービスの防御策によって異なる。「漏洩した＝必ず不正利用される」という意味ではない。

今すぐできる7つの対策【優先順位順】

1. パスキーを使えるサービスでは有効にする

パスキーは、パスワードの代わりに公開鍵暗号方式で認証する仕組み。Appleの公式解説でも、フィッシングへの耐性や秘密情報をサイトに共有しない点が説明されている。

従来のパスワードを入力させる偽サイトに強いのが利点だ。ただし、パスキーを設定しても弱いパスワードや別の復旧経路が残っていれば万能ではない。重要サービスから順番に設定し、残ったログイン手段も点検したい。

2. パスワードの使い回しをゼロに近づける

ある通販サイトからパスワードが漏れ、それを他のサイトでも使っていたら被害が連鎖する可能性がある。これは「リスト型攻撃」と呼ばれる。IPAもパスワードを長く、複雑に、使い回さないことを推奨している。

一つひとつ暗記する必要はない。iPhone利用者なら標準の「パスワード」アプリなどのパスワードマネージャーで、サービスごとに長いランダム文字列を生成・保存すればいい。まずはメール、金融機関、通販、SNSの順に確認する。

3. 重要アカウントに多要素認証を設定する

パスワードだけを知っていてもログインできないようにする。優先対象はメール、銀行、証券、携帯電話会社、決済サービス。対応していればパスキーや認証アプリなど、フィッシング耐性の高い方法を選ぶ。SMS認証しか選べない場合でも、未設定よりは有効だ。

同時に、機種変更や端末紛失に備えてバックアップコードと復旧方法を確認しておきたい。守りを強化して自分もログインできなくなるのは本末転倒だ。

4. メールアドレスを「重要用」と「登録用」に分ける

メールアドレスが漏れたからといって、即座に乗っ取られるわけではない。それでも、通販・会員登録で使うアドレスと、金融機関・重要アカウントで使うアドレスを分けると、重要アカウントのログインIDを広く知られにくくできる。

iCloud+加入者ならAppleの「メールを非公開」を使う方法もある。ただし有料契約が必要で、サービスごとの運用が煩雑になる人もいる。最初は2種類に分ける程度で十分だろう。

5. クレジットカード・銀行の取引通知を使う

不正利用をゼロにするというより、気づくまでの時間を短くする対策だ。カードの利用速報や銀行の入出金通知を設定し、通知対象外の取引もあるため明細を定期確認する。使っていないカードの整理や、サービスが対応する一時停止機能も検討できる。

通知が来ても、メッセージ内のリンクからログインしない。公式アプリを自分で開いて取引を確認するのが基本だ。

6. 漏洩チェックを「無料」で習慣化する

iPhoneの「パスワード」アプリは、漏洩済み・使い回し・推測されやすいパスワードについて警告してくれる。「パスワード」アプリの「セキュリティ」を確認しよう。

加えてHave I Been Pwnedでは、メールアドレスが既知の漏洩情報に含まれているか確認でき、無料の新規漏洩通知を申し込める。ここに自分のパスワードを入力する必要はない。いずれのサービスも全世界の漏洩を把握できるわけではないため、検索結果が「該当なし」でも安全の証明にはならない。

7. メール・SMSの「今すぐ確認」のリンクを踏まない

実在するサービスを装うメールやSMSは、利用者が不安になるタイミングを狙う。IPAは、真偽に迷ったらメッセージ中のURLや電話番号を使わず、公式サイト・公式アプリで確認することを推奨している。

「カードが不正利用されました」「荷物を届けられません」「アカウント停止まであと数時間」と急かされても、アプリを自分で開く。確認コードを他人に教えないことも徹底したい。

特に守るべきは「メールアカウント」

7項目の中で最初に着手するなら、私はメインのメールアカウントを選ぶ。多くのネットサービスでは、メールを通じてパスワード再設定や本人確認が行われるからだ。

メールの乗っ取りは他アカウントへの侵入口になる。メール用の固有のパスワード・多要素認証・不審なログイン端末の確認・転送設定の見直しをセットで行いたい。回復用メールアドレスや電話番号も最新か確認する。

もし漏洩の通知が届いたら、最初の10分で何をする？

通知が本物か確認する。受信メールのリンクからではなく、企業公式サイトの告知などを自分で開く。
漏洩した項目を特定する。氏名だけなのか、パスワード・カード・本人確認書類が含まれるのかで行動を変える。
認証情報の漏洩なら変更する。パスワードとその使い回し先を変更し、不審なセッションを終了。多要素認証も見直す。
カード情報なら発行会社に相談。自己判断で放置せず、停止・再発行・不正利用申告の必要性を確認する。
本人確認書類の画像や名義冒用が疑われるなら、CICの本人申告も検討する。CICは画像送信後のケースも案内している。ただし不正契約の完全な防止を保証する制度ではない。

緊急性の高いケースは即時対応が必要だが、氏名やメールアドレスだけが流出した場合に、全カード再発行や全パスワード変更まで一律に実施する必要はない。重要なのは、漏洩した項目と実際の危険を対応させることだ。