個人情報はなぜ漏れ続ける？『銀のさら』の「最大650万件」は何の数字か、入口から整理

このワダイ、3行で

『銀のさら』を運営する会社が2026年10月13日に発表した「最大約650万件」は、漏れた可能性のある総数で、漏れたと確定した数でも人数でもありません（2026年10月20日15時時点で、公式の一覧に第4報は出ていません）。
ここ数週間の発表でも、数字の単位が「件」「アカウント」「人」とばらばらで、漏れる入口も一つではないため、見える数字だけでは比べられません。
2004年のYahoo!BBのように、公表直後の数字が後から変わる例は昔からあり、備えは「使い回さない」「多要素認証」「怪しい連絡は相手にしない」の3つに絞れます。

個人情報の漏えいのニュースは、ほとんど毎週のように流れます。「また漏れたのか」と思う一方で、「650万件」と言われても、自分の何が漏れたのか、そもそも何を数えた数字なのかが分かりにくいと感じる人も多いはずです。

このページは、誰かを責めるためのものではありません。まず『銀のさら』の発表を公式の言葉どおりに読み、そのあと「件」と「人」の違い、漏れる入口、最近の発表で見えた「なぜ」、漏れたあとに起きうることと自分にできることを、分かっていることと編集部の見方を分けて整理します。

『銀のさら』の「最大約650万件」は、何の数字？
1. 保管委託先の名前は、公式には書かれていない
「件」と「人」と「アカウント」は、同じ数え方ではない
1. 同じ時期の発表でも、単位が3通りあった
漏れる入口は、いくつかの型に分けられる
数が多いのはミス、規模が大きいのは攻撃──と見えるのはなぜか
最近の発表で見えた「なぜ」──預かる量と期間・移したあとに残った物・初報が変わる
漏れたあとに起きうること、自分にできること

『銀のさら』の「最大約650万件」は、何の数字？

寿司の宅配『銀のさら』や『釜寅』『すし上等』を運営するライドオンエクスプレスホールディングスは、2026年10月13日の第3報で、サイバー攻撃による個人情報漏えいの可能性を発表しました。

公式によると、10月7日の早朝、公式サイトとアプリが使うサーバー（データをしまっておくコンピューター）に接続できないことが分かり、保管を委託していた運営会社から「ランサムウェア攻撃を受けた」と報告がありました。ランサムウェアは、データを勝手に使えない状態にして、元に戻したければお金を払うよう迫るウイルスです。人質を取るようなものだと考えると分かりやすいでしょう。

肝心の件数は、最大約650万件です。ただし公式の表記は「漏洩した可能性のある総件数であり、個人情報漏えいが確定した件数ではありません」で、「漏えいの明確な痕跡や事実・範囲は特定できていない」とも書かれています。人数とサービス別の内訳は書かれていません。

対象の可能性がある情報は、氏名、住所、電話番号、メールアドレス、性別、生年月日、注文履歴、デリポイント会員ID、パスワードのハッシュ値（そのままでは読めない形に変えたもの。くわしくは章6で説明します）です。家族の情報やお届け先の情報を登録していた場合は、それも含まれます。クレジットカード情報は、会社が持っていないので対象外とされています。出前館・Uber Eats経由の注文と、電話だけの注文も対象外です。

公式は「現時点で不正利用は確認されていない」としています。侵入の経路は公表されていません。公式サイトとアプリからの注文は、第3報の時点で停止中で、再開日は示されていません。止まっている間にできることは、同じ10月に止まったサービスをまとめたページで扱っています。

保管委託先の名前は、公式には書かれていない

運営会社の公式（第2報・第3報）は、保管を委託した運営会社の名前を書いていません。このページでも名前は挙げません。

なお、同じ10月7日には、クラウド事業者のIDCフロンティアも、第三者からのランサムウェア攻撃を受けたと公表しています（東日本リージョン1の障害。契約する495の企業・自治体に影響）。ただし、どちらの公式にも、『銀のさら』とIDCフロンティアを結びつける記述はありません。時期が近いだけで、関係があるのかは分かっていません。

IDCフロンティアの第5報（10月14日）は、障害の影響を受けた東日本リージョン1の一部のゾーンについて、顧客の仮想サーバー内のデータが調べられたり外へ持ち出されたりした痕跡は確認されず、外部への流出はなかったと判断した、と伝えています。ほかのゾーン・リージョンは、サービスへの影響はないものの、安全性を確認するため調査を継続中とのことです。侵入の経路は公表されていません。

IDCフロンティアは、10月18日にも第6報を出しています。題名は「バックアップサービスの提供再開について」で、本文によると、停止していた『IDCFクラウドバックアップ』は安全性の確認が完了したとして提供を再開し、「スナップショット機能」は安全性の確認のために現在も停止しています。第7報以降は、10月20日15時時点で公式の一覧にありません。

「件」と「人」と「アカウント」は、同じ数え方ではない

「650万件」を見て、まず浮かぶのは「650万人分ということ？」という疑問です。公式は「件」で書いていて、人数は公表されていません。「650万人」とは言えませんし、人数より多いのか少ないのかも、今は分かりません。

「件」と「人」で数字がどれだけ変わるかは、2014年のベネッセの事故がよく示しています。ベネッセホールディングスの調査報告（2014年9月25日）は、名簿業者に売られたとされるデータを、次のように数え直しています。

売られたとされるデータを延べで数えた件数：約2億1,639万件
まったく同じ内容を1件にまとめた件数：約6,984万件
同じ人のものを名寄せ（同じ人の情報を1つにまとめること）した件数：約3,504万件
人数にすると：約4,858万人

最後の「人」が「件」より多いのは、1件の中に複数の人の情報が登録されているケースがあるからです。公表版は、2億1,639万件が延べ件数の全てとは断定できない、とも書いています。同じ事故の数字でも、何を数えるかで桁が変わります。

同じ時期の発表でも、単位が3通りあった

この「数え方の違い」は、ここ数週間（2026年9月末〜10月中旬）の発表でもそのまま見えました。次の表は、五十音順に並べたものです。大きさの順ではありませんし、数字どうしを比べるための表でもありません。

サービス（運営会社）	公式の発表	公表された数字（単位は公式のまま）	その数字が指しているもの
『ショップサーブ』（Eストアー）	10月16日（最終報）	約2,335万6千人	購入者・会員のほか、店舗運営者とアフィリエイター（広告で紹介する人）を含みます。複数の項目の一致で名寄せし、可能な限り重複を除きましたが、基準に満たない重複は除けないため「概数」とされています
『銀のさら』（ライドオンエクスプレスHD）	10月13日（第3報）	最大約650万件	漏れた可能性のある総件数。確定した数ではなく、人数も書かれていません
『コミックシーモア』（NTTソルマーレ）	10月18日（第3報）	精査中	第2報（10月16日）・第3報とも件数は出ていません
『skyticket』（アドベンチャー）	10月16日	カード情報は最大6,140人	2017年2月〜2018年6月に、有料会員サービス「skyticket プレミアム」の料金の支払いでカードを登録・利用した顧客です
ソースネクスト	10月15日	22,519,960件	「流出した可能性のある」件数。「すべてのお客様について全項目が流出したわけではない」と書かれています
『タイムズカー』（パーク24）	9月28日・29日（10月16日に第4報）	約660万アカウント／うち約160万アカウント	660万は、現在と過去の『タイムズカー』会員（入会を申し込んだが手続きが完了しなかった人を含む）などの範囲です。160万は、運転免許証の画像などの本人確認書類が漏えいしたアカウントの数で、範囲が違います

アカウントは、サービスにログインするための登録の単位です。1人で複数持つこともあるので、「アカウント」の数は人数と同じとは限りません。「件」も、何を1件と数えるかは会社ごとに違います。数字を見たら、まず「何を数えたのか」を見るのが大事です。

漏れる入口は、いくつかの型に分けられる

こうした事故は前にもありました。ここからは、大きく報じられた例から選んで、編集部が「3つの型」に分けてみます。公的機関の分類ではなく、型は重なることもあります。

1つめ：持ち出し型

中にいた人が、データを外へ持ち出す形です。ベネッセの2014年は、システムの開発・運用を担うグループ会社の業務委託先の元社員が、業務用のデータベースから自分のスマートフォンへデータを移し、名簿業者3社に売った、と調査報告にあります。自社の社員ではなく、業務を任された会社の元社員の話です。

2023年のNTT関連の事故も、ITmedia（2023年10月18日）によると、運用保守を担う委託先の元派遣社員による持ち出しと報じられています。少なくとも59の企業・自治体の約900万件にのぼり、1つの委託先の事故が、預けた側の多くの事故として同時に表に出ました。

2つめ：ウイルスメール型

2015年の日本年金機構は、職員の端末に届いたメールのウイルス入りの添付ファイルを開いたことで、約125万件が外に出たと発表されました（2015年6月1日）。5月28日に分かったとされています。人が毎日やりとりするメールが入口になるので、「気をつけていても、うっかり開いてしまう」ことは誰にでもありえます。

3つめ：機器・預け先から入られる型

アサヒグループホールディングスは、2026年7月17日の発表で、2025年9月29日に起きた事案について、外部の攻撃者がグループ拠点のネットワーク機器を経由して社内に入った、と説明しています。今回の『銀のさら』は、預け先のサーバーが攻撃を受けた形です。

預けた先を狙われると、自分では防ぎにくいのが難しいところです。情報処理推進機構（IPA）の「情報セキュリティ10大脅威 2026」では、組織向けの2位が「サプライチェーンや委託先を狙った攻撃」で、8年連続です（1位は「ランサム攻撃による被害」で11年連続）。『ショップサーブ』は、最終報（10月16日）では7,858店（現在と過去の利用店）のデータが1つのサービスに集まっていました。入口が1つでも、そこから出るデータは多くの会社の分になりえます。

補足：外から呼び出せる入口

最近の発表では、もう1つの入口も見えました。ソースネクストは、会員情報を管理するシステムの「会員情報取得API」を不正に使われた、と公式の告知で説明しています。APIは、ソフトどうしがインターネット越しにデータをやりとりするための窓口のことです。『ショップサーブ』も、Eストアーの最終報によると、サーバー上のアプリの脆弱性（ソフトの弱点）を悪用されて、データベースの情報が外へ送られました。

ホームページ作成サービスの運営会社が不正アクセスを受けた、として、そのサービスで作ったサイトの問い合わせ内容などが漏れた可能性を、利用する自治体が公表した例もあります。埼玉県は、博物館のイベントの申込・問い合わせで取得した個人情報計162件が漏えいした可能性があるとしています（10月16日時点で、漏えいの有無と範囲は調査中）。

この型は、前の3つとは別に増やさず、「重なる型」の補足にとどめます。大きく報じられた例から選んだ編集部の整理で、増えた・減ったを言うための分け方ではありません。なお、2004年のYahoo!BBは、会社が「流出経路を特定するに至っておりません」と発表していて、型の例には入れていません。

数が多いのはミス、規模が大きいのは攻撃──と見えるのはなぜか

「漏れる事故でいちばん多いのは、攻撃なのか」という疑問があります。国と民間の統計は、数えているものが違うので、同じ表には並べず、別々のカードとして見ていきます。

個人情報保護委員会「令和7年度年次報告」（2026年7月7日公表）　数えているもの：会社などから委員会に届いた漏えい等の報告
項目	数字
報告の処理件数（令和7年度）	17,139件（うち委員会への直接報告は13,345件）
直接報告のうち、誤交付・誤送付（書類やデータを間違った相手に渡した）	9,910件（約74%。編集部の計算）
直接報告のうち、不正アクセス	1,256件（約9%。編集部の計算）
直接報告のうち、紛失・誤廃棄・盗難・内部不正・その他	2,179件（約16%。編集部の計算）
1件で漏れた人数が1,000人以下のもの（処理件数17,139件のうち）	93.6%

委員会の表は、事案の数であって人数ではありません。個人データの取扱いを委託している場合は、委託元と委託先の両方が報告する義務があるため、同じ事案が重なって報告されることもあります。

東京商工リサーチ「上場企業の個人情報漏えい・紛失事故」2025年（2026年1月30日公表）　数えているもの：上場企業とその子会社が自分から開示した事故
項目	数字
2025年の事故	180件（前年比4.7%減）
原因がウイルス感染・不正アクセスのもの	116件（64.4%）
不正アクセス1件あたりの平均	56万3,637人分

東京商工リサーチは、180件のうち70件は人数を開示していないとして、実態はさらに大きい可能性がある、と書いています。

先に断っておくと、この2つの統計は数えているものが違うので、「どちらが正しい」でも「不正アクセスは9%か64%か」でもありません。委員会の表では、書類やデータの間違った渡し先が大半で、1件で漏れた人数が小さい事案が多くを占めます。上場企業の公表分では、ウイルス感染や不正アクセスが大きな割合で、1件あたりの人数も大きくなっています。

編集部は、小さなミスはたくさん起き、攻撃は1回で大量のデータが出てしまうことがある、だから「数が多いのはミス、規模が大きいのは攻撃」と見えるのではないか、と考えています。これは資料がそう書いているわけではなく、2つの統計から読んだ編集部の整理です。

帝国データバンクの調査（2026年10月19日公表）　数えているもの：企業へのインターネット調査の回答（自己申告）
項目	数字
調査期間・有効回答	2026年10月9日〜14日、1,328社
情報漏えい（可能性を含む）が発生したことがある	16.2%（直近1年以内は5.5%）
全く発生したことがない	69.1%
分からない	14.8%

この調査は、委員会や東京商工リサーチとはまた別のもので、並べて比べるものではありません。見ておきたいのは「分からない」が14.8%あることです。ITmediaは、専門家がいなくて判断できないという声があると報じています。漏れていないのではなく、漏れているかどうかが見えていない会社もある、ということかもしれません。統計に出てくる数字は、いつも「見えた分」だと考えるのが安全です。

最近の発表で見えた「なぜ」──預かる量と期間・移したあとに残った物・初報が変わる

漏れる量は、入口の数だけでなく、預かっている量と期間にも左右されうる、と編集部は見ています。最近の発表には、そのことを考える手がかりになる例がありました。

預かる量と期間：『タイムズカー』

パーク24は、10月16日の第4報で、運転免許証などの画像の扱いを変えると発表しました。それまでは、会員の期間中に加えて、退会後も7年間、画像を保管していました。目的は、不正利用への対応、問い合わせへの対応、本人確認のためと説明されています。

今後は、会員登録が完了したあとは画像を保有しない社内ルールに変えます。いま保有している分も、会員の申し出の有無にかかわらず、10月末までにすべて削除するとのことです。ITmedia（10月16日）は、画像を持つことのリスクや管理の方法を検討して方針を改めた、と伝えています。会員ごとの漏えいの詳細の案内は、9月29日には「2週間程度」としていましたが、外部の専門機関の調査に時間がかかっているため、10月23日に延期されました。

数字は、第3報までの値で読みます。約660万アカウントは現在と過去の会員などの範囲、約160万アカウントは本人確認書類が漏えいしたアカウントの数です。160万のうち退会した人がどれだけいるのかは、分かっていません。侵入の経路や原因も、公式には書かれていません。

なぜ7年だったのかは、公式に書かれた目的までしか分かりません。ただ、「退会したあとも手元に残る個人情報」という点は、『ジオシティーズ』や『Flash』はなぜ見られなくなった？ネットは一生残るのかを整理で扱った「消えるはずの物が残る、残したい物が消える」という話の、個人情報の側の例になりえます。

方式を移したあとも残った物：『skyticket』

アドベンチャーは、10月9日の初報で「カード情報の流出はない」としていましたが、その後の調査で流出を確認して、10月16日に訂正しました。対象は、2017年2月〜2018年6月に有料会員サービスの料金の支払いでカードを登録・利用した顧客、最大6,140人です。カード番号、名義人名、有効期限が含まれ、セキュリティコードは含まれません。

ITmediaによると、会社の説明は、2018年6月まではカード情報を自社のサーバーで保管し、その後、決済代行会社での管理に移したが、移行のときに会費の支払いの変更履歴（ログ）が削除されないままサーバーに残っていて、そこにカード情報が含まれていた、というものです。2018年7月以降のカード情報は流出していないとされ、ほかに残っていないかは確認中です。二次被害は確認されていないが、10月以降のカード利用明細を確認するよう呼びかけています。

「移したつもり」の物が別の場所に残っていることは、どの会社でも起こりえます。誰かのやり方が悪かったという話ではなく、システムを入れ替えるときに起きうる仕組みの問題として読むのが、この件の使い方です。

初報の数字や範囲は、後から変わる

公表直後の数字や範囲が、後から変わることは珍しくありません。最近の例だけでも、次のものがあります。

『skyticket』：初報の「カード情報の流出はない」が、10月16日に訂正された
『コミックシーモア』：第2報（10月16日）のあとの第3報（10月18日）で、新たに一部のシステムログファイルも閲覧・取得されたことが分かり、会員情報が含まれるかを精査中。対象件数は未公表
『ショップサーブ』：第1報（8月1日）から最終報（10月16日）までの間に、第2報で対象としていた店舗メールのID・パスワード、FTPのID・パスワード、振込先口座情報は、調査の結果「対象外」に変わった。範囲が狭まる方向の変更もある

昔からの例もあります。2004年のYahoo!BBは、1月23日に242名分の流出を公表し、2月27日には警察の押収資料と照合して4,517,039件と発表しました。アサヒグループも、2026年7月17日の発表で、区分ごとに「漏えいのおそれ」の件数を示していて、確認された数とおそれのある数は段階的に更新されています。

『銀のさら』の「最大約650万件」も、今は「可能性の総数」です。後から確定した数や人数が出る可能性があるので、「最新」の数字を見るときは、いつの時点のものかを必ず見てください。

漏れたあとに起きうること、自分にできること

「漏れた」ことと「被害に遭った」ことは、同じではありません。『銀のさら』の公式は、第3報の時点で二次被害（漏れた情報が悪用される被害）は確認されていないとしています。『ショップサーブ』は二次被害の報告は確認していない、『コミックシーモア』は購入履歴や『MY本棚』の流出・消失・欠損は現時点で確認されていない、と説明しています。起きうることと、確認されていることは、分けて考えましょう。

起きうること1：なりすましの連絡

本物そっくりのメールやSMS、電話でお金の話に誘導される、というものです。個人情報保護委員会は、名簿を売り買いする業者が、違法な行為に及ぶおそれのある相手に個人情報を渡し、本人が特殊詐欺グループからの連絡にさらされる状態になった事案を、2025年に公表しています。今回の件とは別の事案です。

国民生活センターは、2024年8月に、センターの職員を名乗って「個人情報が漏えいしているので削除できる」と電話してくる手口を注意しています。これも今回の件とは関係がありません。親切そうな連絡ほど、相手にせず、公式サイトや窓口へ自分で確認するのが基本です。『タイムズカー』も、会社がパスワードやカード情報を求めることはない、として注意しています。

起きうること2：パスワードの使い回し

ある場所で漏れたパスワードを、別のサービスで試されることがあります。IPAが「リスト型攻撃」として説明している、流出したIDとパスワードの一覧を入力して試す手口で、同じパスワードを使い回していると被害に遭いやすくなります。IPAの2022年度の調査では、使い回していない人はパソコン利用者で平均58.1%、スマートフォン利用者で46.6%でした。計算すると、使い回している人は4割から5割強います。半分近くの人が当てはまるので、自分だけではありません。

「パスワードが漏れた」の意味は、保存の仕方で違う

ここ数週間の発表でも、パスワードの扱いの説明は会社ごとに違っていました。言葉の違いから先に整理します。これは編集部の説明です。

暗号化：鍵を使えば、元のパスワードに戻せる形に変えること
ハッシュ化：元に戻せない形に変えること。ログインのときは、入力したパスワードを同じ形に変えて、保存してある形と合うかを見る

『コミックシーモア』は、流出したのは「ハッシュ化されたパスワード」で、元のパスワードは読み取れない形に変換して保存している、と説明しています。『タイムズカー』のパスワードは「不可逆な形式で保存」と注記されています（9月28日の英文リリース）。『銀のさら』は、パスワードのハッシュ値について「暗号化されており、そのままでは読み取りできない情報です」と説明しています（会社の言い方で、上の編集部の定義の「暗号化」とは意味が違います）。『ショップサーブ』は、会員のパスワードは暗号化されていて特定される可能性は低いと判断した一方、店舗の管理画面のログインIDとパスワード、アフィリエイトのパスワードは漏えいの対象に含まれる、としています。

ソースネクストについては、公式の告知とFAQに、パスワードの保存方式は書かれていません。広報担当の説明として、ITmedia（10月19日）は、パスワードは暗号化して保存していたこと、暗号化されたパスワードを元に戻すための鍵にアクセスできるシステム（API）に不正アクセスがあったこと、復号の鍵そのものは流出していないが、パスワードが復号された状態で外部に流出したことを確認していることを伝えています。ハッシュ化にしていなかった理由については、「開発時期が古く、当時採用した暗号化方式を継続して使用していた。結果として、最新のハッシュ化方式への移行ができていなかった」と会社が説明しています。

どの会社の場合も、公式は同じことを呼びかけています。ソースネクストは、全ユーザーのパスワードを無効化したうえで再設定を求め、同じメールとパスワードを他のサービスで使っている場合はそちらも変えるよう求めています。『コミックシーモア』は、ハッシュ化されていても、他社サービスでも同じメールとパスワードを使っている場合は変更するよう勧め、サービス再開時に全会員へパスワードの再設定を依頼する予定としています。再設定の流れは、止まったサービスをまとめたページで扱っています。

公的機関が勧める3つの行動

IPAなどが勧めていることを、編集部が3つに絞ります。順番は編集部の提案です。

1つめは、パスワードを使い回さないこと。長く、サービスごとに変えます。

2つめは、多要素認証（二段階認証とも言います）を設定すること。パスワードに加えて、スマホに届く確認コードなど、もう1つ別の方法でも本人確認をする仕組みです。パスワードが漏れても、ログインされにくくなります。

3つめは、怪しい連絡を相手にしないこと。心当たりのないメール、SMS、電話は、URLを開かない、返信しない。心配なら、公式サイトや窓口へ自分で確認します。「漏えいの連絡」を名乗る電話やメールも、同じ扱いです。困ったときは、消費者ホットライン188に相談できます。

自分が『銀のさら』の対象かどうかは、会社からの案内（メール・郵送）か、相談窓口で確認できます。窓口は 0120-782-272 で、11月15日までは全日10時〜20時、11月16日以降は平日10時〜20時です。

まだ分かっていないこと

『銀のさら』の約650万件が実際に漏れたのか、人数、侵入の経路（2026年10月20日15時時点で、公式の一覧に第4報はありません）
保管委託先の名前。『銀のさら』とIDCフロンティアの関係は、どの公式にも書かれていない
ソースネクストの侵入の方法と、パスワードの保存方式の公式の記述
『タイムズカー』の侵入の経路・原因、約160万アカウントのうち退会者の数、会員ごとの詳細の案内（10月23日の予定）
『コミックシーモア』の対象件数と、侵入の経路・手法
『skyticket』で、ほかにカード情報が残っていないか（会社が確認中）

最近は、ここに挙げた以外にも多くの会社が漏えいの可能性を発表しています。このページは全部を数え上げるものではなく、仕組みで整理するためのものです。新しい資料が見つかったら、このページに書き足します。

主な出典

公式・公的機関

報道・民間の調査

更新履歴

2026年10月20日　初版（2026年10月20日15時時点の情報。根拠の再確認は10月15日・19日・20日）