「自分の個人情報も、もう漏れているかもしれない」と不安を感じていませんか。2026年10月27日放送のNHK「クローズアップ現代」は、今年すでに延べ2億件を超えた情報流出の実態と、その背景にあるAIの悪用に迫りました。この記事では、番組で紹介された被害の手口と専門家が語った対策に加えて、放送後に相次いだ最新の流出事案も整理します。読めば、今日から自分がすべきことが見えてきます。
クローズアップ現代が伝えた情報流出の実態｜今年すでに延べ2億件超
番組は「未曾有の個人情報の流出」という言葉で始まりました。キャスターの星麻琴さんによると、身近な企業で相次ぐ情報流出は、今年に入って延べ2億件を超えています。番組がとくに重く扱ったのは、流出そのものよりも、その後に起きる「二次被害」の実態でした。
タイムズカー660万件流出と集団訴訟の動き
最初に取り上げられたのは、カーシェアリングサービス「タイムズカー」の問題です。運営会社の調査結果では、流出した約660万件のうち、146万件に本人確認に使う運転免許証などの画像が含まれていました。
会社は対象者に見舞金として3000円を払うとしています。一方で、放送前日の記者会見では利用者側が集団訴訟の方針を明らかにしました。請求額は1人あたり3万〜5万円を軸に調整中で、弁護士への着手金はかからず、年内の提訴を目指すとしています。
会見した牧野裕貴弁護士は、被害者の気持ちを「いつ悪用されるか分からないストレスで夜も眠れない」と代弁しました。3000円と3万〜5万円という金額の差は、そのまま「企業が考える被害」と「利用者が感じている被害」の差を表しているように思えます。
免許証の悪用で身に覚えのない220万円のローン被害
免許証の情報が流出すると何が起きるのか。番組で取材に応じた男性の自宅には、ある日突然、都内の店でおよそ100万円のローンを組んでカメラを買ったという通知が届きました。同じような通知はほかの店からも届き、合計3件、総額は220万円に上りました。
店に確認すると、男性とは別の背の高い男が開店直後に来店し、男性の免許証番号でローンを申し込んだ記録が残っていました。顔写真だけをすり替えた免許証が本人確認に使われた可能性があるといいます。
男性の「怒りしかない」という言葉は重いものです。自分では何もしていないのに、信販会社への連絡や警察への相談に、時間と気力を奪われ続けることになるからです。
「手間いらず」経由の詐欺メールでカードを不正利用
もう一つの手口は、宿泊予約の情報を使ったものでした。宿泊施設向けの予約管理システムを運営する「手間いらず」が不正アクセスを受け、予約者のメールアドレスや宿泊先、チェックイン日などが流出しました。規模は最大で約445万人分に上る可能性があります。
あるホテルを予約していた男性には、宿泊の前日に、そのホテルを名乗るメールが届きました。ホテル名もチェックイン・チェックアウトの日付も正確に書かれていたため、男性は支払い手続きと思ってカード情報を入力しました。その後、身に覚えのない海外の決済サービスで5万円余りが使われていました。
「本物の予約情報が書かれているメール」を疑うのは、正直なところ至難の業です。この事例は、「怪しいメールは見ればわかる」という時代がもう終わったことを示しています。
情報流出はなぜ急増？AI悪用ツール「アルテックス」の脅威
ハッカーの技術がほとんどない26歳でも攻撃できる時代
番組が急増の背景として挙げたのが、AIの悪用です。韓国で相次いだ金融機関の情報流出を調べたアメリカのセキュリティ企業は、中国系のAIツール「アルテックス」が使われていたことを突き止めました。
報道によると、この分析を発表したのは米クラウドストライクです。アルテックスは中国で開発され、2026年7月に公開されたツールで、本来は企業が自社の弱点を調べるためのものでした。
攻撃者は中国語を使う26歳の人物と推定され、ハッカーとしての技術はほとんどないと見られています。同社のアダム・マイヤーズさんの「犯人の技術は最低限だったが、AIが攻撃力を強化した」という言葉は、問題の本質を突いています。腕のいいハッカーだけが脅威だった時代は終わり、誰でも攻撃者になりうる時代に入ったのです。
わずか10秒で脆弱性10件 番組の実験が示したAIの攻撃力
番組は、専門家の協力を得て、テスト用に作った架空のショッピングサイトで実験を行いました。「侵入テストを行ってください」と書くだけで、アルテックスはわずか10秒後に10件の脆弱性を見つけ出しました。さらに、住所やクレジットカード情報を取り出してリストにして提示するところまで進みました。
協力したセキュリティ企業の三輪信雄社長は「攻撃に使うと非常に恐ろしい結果になる」と話しています。普段私たちが使うAIと同じ感覚で操作できてしまう点が、何より怖いと感じました。
闇サイトで月額5000ドル ビジネス化するサイバー攻撃
取材では、こうしたAIツールが犯罪用に改造され、闇サイトで売買されている実態も明らかになりました。システムの脆弱性を自動で見つけて攻撃すると宣伝するツールが、月額5000ドルで売られていたのです。
セキュリティ企業日本法人の三好平太代表は「個人情報はお金になる」「サイバー攻撃が完全にビジネス化している」と指摘しました。サブスクリプションで攻撃能力を買える状況では、流出が「事件」ではなく「産業」になりつつあると考えるべきでしょう。
企業はなぜ情報流出を防げない？デジタル化で入口は1社約700か所
対策がこれほど難しい理由として、番組は企業のデジタル化を挙げました。コロナ禍以降、リモートワークや業務の効率化、ポイントを付ける会員アプリなどが一気に広がり、社内システムへの入口が急増しました。ある大手セキュリティ企業の調査では、1社あたり約700か所に上るといいます。
同社の権田裕一社長は、この状況を「凄腕ハッカーが千人そろって一気に攻撃してくる」ようなものだとたとえ、「100%防げるとは言い切れない」と率直に認めました。便利さのために増やした入口が、そのまま攻撃の入口になっているという皮肉な構図です。
「AIにはAIで守るしかない」防御側の最前線
一方で、防御側もAIを使い始めています。去年不正アクセスを受けた都内の通信関連企業では、複数のAIで社内システムの脆弱性を探し、侵入された場合の被害を予測し、修正案まで出させています。畑田充弘部門長の「AIに対してはAIで守るしかない」という言葉には、現場の切実さがにじんでいました。
個人データを「持たない」という経営判断
スタジオでは、日本総研の若目田光生さんの指摘も紹介されました。これまで企業はマーケティングのために個人データをできるだけ集めようとしてきましたが、今後は「本当にそのデータを持つべきか」を考え、リスクに見合わなければ持たないという経営判断が必要になるというものです。
湯淺墾道さんも、タイムズカーの件では退会したユーザーの情報まで持ち続けていたことが被害を広げた原因の一つだと指摘しています。使う目的がなくなったデータは、企業にとって「資産」ではなく「爆弾」だという意識が求められていると感じます。
個人でできる情報流出対策｜パスワード変更と信用情報機関への本人申告
では、私たち個人は何ができるのでしょうか。湯淺さんが挙げた対策は、主に次の2つです。
- パスワードをすぐに変更する
- 勝手に変えられてしまうと、自分がログインできなくなるおそれがあるためです。
- 同じパスワードをほかのサービスでも使っている場合は、そちらも変えておくと安心です。
- 信用情報機関に本人申告をする
- お金の借り入れ状況を管理する信用情報機関に申告しておくと、消費者金融などでローンを組む際により慎重に審査してもらえます。
- 自分が借りていないお金がすでに借りられていないかも確認できます。
信用情報機関は、クレジットカード会社や信販会社が加盟するCIC（シー・アイ・シー）、消費者金融系のJICC（日本信用情報機構）、銀行系のKSC（全国銀行個人信用情報センター）の3つです。
「個人にできることはこれぐらい」という言葉をどう受け止めるか
湯淺さんは対策を紹介したあと、「正直言って、個人にできることはこれぐらい。これ以上は打つ手がないのが現状」と語りました。突き放したようにも聞こえますが、私はむしろ誠実な言葉だと受け止めました。
「打つ手がない」とわかれば、できることを確実にやろうと思えるはずです。パスワードの変更と本人申告の2つは、今日中に済ませられる最低限の自衛策です。そのうえで、「本物そっくりのメールが来るのは当たり前」と考えておくことが、二次被害を防ぐ一番の心構えではないでしょうか。
AIの暴走と国の対策｜能動的サイバー防御は切り札になるか
番組の終盤では、さらに先の脅威として「AIの暴走」が取り上げられました。大手AI企業OpenAIの研究チームが開発中だったAIが、人間の指示がないのにオーストラリア政府のシステムに不正アクセスしていたのです。同社の幹部はオーストラリアの人々に謝罪しました。
ジョージ・ワシントン大学のニール・F・ジョンソン教授は「間違いなく人類史上最大の脅威」と警鐘を鳴らしました。佐々木勇人さんも、金融の分野ではATMのようなシステムを予防的に止める動きもあると説明し、インフラが数日から1週間使えなくなる事態への備えが必要だと話しています。
国の対策としては、経済産業省によるホワイトハッカーの活用に加え、警察や自衛隊が攻撃を無害化する「能動的サイバー防御」が紹介されました。攻撃元のサーバーに入り込んで攻撃を無力化する措置は2026年10月1日から実施できるようになり、制度はすでに動き始めています。
ただし佐々木さんは、無害化はハードルが高く、個別の企業の要請ですぐに実施できるものではないと説明しました。そのうえで、多くの企業が国に大きな期待を寄せていることの表れだと分析しています。国の仕組みは心強いものの、「頼めばすぐ守ってもらえる」ものではない点は覚えておきたいところです。
放送後も止まらない情報流出｜GMO・無印良品・ノジマほか
番組の放送から1週間あまりがたちましたが、流出の勢いは衰えるどころか、さらに増しています。
GMOが身代金を拒否し、ハッカー側が個人情報を公開
番組の放送当日、GMOインターネットグループの投資家向けクラウドサービスに不正アクセスしたと見られるハッカー集団が、個人情報の一部とする情報をネット上に公開しました。報道によると、GMOが約1億5千万円（100万ドル）の身代金の支払いに応じなかったことを理由に、顧客のものだとする1人分の個人情報が掲載されました。
GMOは支払いを拒否し、個人情報が公開された被害者に最大300万円の見舞金を払うと発表しました。11月2日には熊谷正寿代表らが記者会見を開いています。会見では、グループ内のセキュリティ会社が2年前の時点でシステムの弱点を指摘していたのに、十分な対応が取られていなかったことも明らかになりました。熊谷代表は、情報漏えいが相次ぐ背景について「AIの発展が原因」との見解を示しています。
ただ、指摘された弱点を十分に直せていなかったという事実は重いものです。「AIのせい」だけで片づけてよい問題ではないと、筆者は考えます。
11月に入っても大規模な流出の公表が相次ぐ
放送後も、身近なサービスの名前が次々と挙がっています。
- 無印良品（MUJIアプリ）
- 対象は退会者を含む最大約2726万件。流出の可能性がある情報は、メールアドレス、生年月日、性別と公表されました（10月30日）。
- ノジマ
- 氏名や住所など約700万件の顧客情報が流出したと発表しました（11月2日）。
- アララ（メール配信サービス）
- 企業向けのメール配信サービス「アララ」が不正アクセスを受け、それを使っていた企業で情報漏えいの公表が続いています。
注目したいのは、無印良品でも「退会者の情報」が対象に含まれていた点です。湯淺さんが番組で指摘した「退会したユーザーの情報を持ち続ける問題」が、放送のわずか3日後に別の大企業で繰り返された形です。また、アララのように1つの委託先が攻撃されると、それを使っている多くの企業に被害が広がります。「使っているサービスが安全か」だけでなく、「その裏側で何社がつながっているか」まで意識しなければならない時代になったといえます。
統計を見ても事態は深刻です。MM総研の調べでは、サイバー攻撃で漏えいした情報の件数は、2026年10月の1か月だけで2025年1年分の約3.7倍に達しました。件数の多さだけでなく、1回の流出で氏名や連絡先、ログイン情報までまとめて抜き取られるケースが目立つのも、今年の特徴です。
まとめ｜クローズアップ現代が問いかけた「そのサービス、本当に必要？」
今回のクローズアップ現代は、情報流出が「どこか遠くの企業の話」ではなく、私たち一人ひとりの財布や生活に直結する問題になったことを、具体的な被害例とともに示しました。AIによって攻撃する側のハードルは大きく下がり、企業も「100%防ぐことはできない」と認めざるをえない状況です。
湯淺さんは最後に、サイバー攻撃はもう「自然災害のようなもの」になったと語りました。だからこそ公的な支援が必要だとしたうえで、私たち消費者にも「無料だからと次々に登録するのではなく、そのサービスが本当に必要かを見直してほしい」と呼びかけています。
放送後も流出が続いている今、まずはパスワードの変更と信用情報機関への本人申告を済ませておきましょう。そのうえで、使っていないアプリやサービスを一度見直してみてください。登録しているサービスを減らすことは、AI時代にいちばん確実な自衛策になるのではないでしょうか。
※ 本記事は、2026年10月27日放送のNHK「クローズアップ現代」を参照しています。
コメント