AIサービスから個人情報が漏れたと通知が来た。二次被害を防ぐ鍵は、漏れた項目に合わせた手当てと、便乗する連絡への警戒

使っていたAIサービスや通販サイトから「お客様の個人情報が漏えいした可能性があります」と届いた。自分が何かしたわけではないのに、落ち着かない気持ちになりますよね。二次被害を防ぐ鍵は、通知に書かれた「漏れた項目」に合わせて手を打つことと、漏えいに便乗する偽の連絡に乗らないことです。通知の読み方、手当ての順番、相談先を整理します。

01 結論から言うと漏えいの通知が来たら、まず何をする？

漏えいの通知が来たら、まず公式サイトで本物の発表か確かめ、通知の「漏れた項目」を読みます。そのうえで、項目に合ったパスワード変更などの手当てと、便乗する連絡への警戒を数か月続けます。

漏えいそのものは、もう起きてしまったことです。あなたにできるのは、漏れた情報が「次の被害」に使われるのを防ぐことです。これを二次被害と呼びます。

二次被害の多くは、漏れた情報の種類で決まります。パスワードなら不正ログイン、メールアドレスや電話番号なら偽の連絡、カード番号なら不正な請求です。だから、通知の文面を一度落ち着いて読み、何が漏れたのかを確かめるところから始めます。

この記事は、サービスの側から情報が漏れた場合の話です。自分でAIに情報を入力してしまった場合は、会社の情報や個人情報をAIに入力してしまったを見てください。入力したデータの行き先と学習を止める設定は、ChatGPTに個人情報を入力しても大丈夫？で整理しています。

02 研究とデータでわかっていること通知には何が書かれ、人はどう動いている？

本人への通知に書く5つの事項は、個人情報保護法の施行規則で決まっています。一方、米国の研究では、通知の文面はわかりにくく、漏えいのあったサイトでパスワードを変えた人は3割ほどにとどまっていました。

個人情報保護法第26条と施行規則第7条では、要配慮個人情報（病歴など）の漏えい、財産的な被害のおそれ、不正の目的のおそれ、本人が1,000人超、のどれかにあたる漏えいが起きると、事業者は個人情報保護委員会に報告し、本人にも知らせることになっています。施行規則第10条は、本人への通知に書く事項を決めています。条文の5つの事項と、読むときに見るところを記事用に表にしました。

通知に書く事項（施行規則第10条）	読むときに見るところ
概要	いつ、どのサービスで起きたか。自分が使っていたサービスか
漏れた個人データの項目	氏名、メールアドレス、電話番号、パスワード、カード番号、会話の履歴など。ここで次の手当てが決まる
原因	不正アクセスか、設定ミスや誤送信か。不正アクセスなら悪用を前提に動く
二次被害またはそのおそれの有無と内容	不正ログインや偽メールなどが確認されているか
その他参考となる事項	問い合わせ窓口、会社が求める対応（パスワード再設定など）

通知は「事態の状況に応じて速やかに」とされていて、規則に日数は書かれていません。本人への通知が難しいときは、公表などの代わりの措置でもよいとされています。第171条では、日本にいる人に商品やサービスを提供する外国の事業者が、その人の個人情報を扱う場合にも、この法律が適用されるとされています。なお、2026年7月に改正法が公布され、施行に向けた規則の検討が続いています。この表は2026年10月時点の規則によるものです。

03 まだわかっていないことAIサービスの漏えいは、ほかと何が違う？

AIサービスに特有の漏えい、たとえば会話の履歴が漏れた場合の二次被害を調べた研究は、まだほとんどありません。ここで紹介した研究も、主に米国のメールアドレスやパスワードの漏えいが対象です。

04 今日からできること二次被害を防ぐには、何をどの順でする？

二次被害を防ぐには、本物の発表か確かめる、漏れた項目に合わせて変える、便乗する連絡を断る、の順に進めます。数か月は明細と登録情報を見直し、自分を責めずに続けられる形にします。

自分のメールアドレスがほかの漏えいにも含まれていないかを確かめる手順は、姉妹メディアの自分のメールアドレスやパスワードは漏れている？で、二段階認証とパスキーの研究はBOHANの記事で扱っています。だまされたあとに自分を責めてしまう気持ちについては、AIを使った詐欺にだまされて、自分を責めてしまうも参考になります。

05よくある質問

個人情報漏えいのお知らせメールは本物？どう確かめる？

メールの中のリンクは開かず、自分で開いたサービスの公式サイトや公式アプリのお知らせ欄で、同じ発表があるかを確かめます。警察庁は、送信元の名前やアドレスは偽装できるため、表示だけで本物かどうかを判断するのは難しいとしています。

漏えいの通知が来たら、パスワードは全部変えるべき？

漏れたサービスのパスワードに加えて、同じパスワードや似たパスワードを使っているサービスを先に変えます。研究では、漏えいのあったサイトでパスワードを変えた人は3割ほどで、ほかのサイトの同じパスワードはほとんど変えられていませんでした。

漏れた会社に補償や説明を求めたいときは？

まず通知に書かれた会社の問い合わせ窓口に、公式サイトで確かめた連絡先から問い合わせます。対応に納得できないときは、個人情報保護委員会の個人情報保護法相談ダイヤル（03-6457-9849）で、苦情の相談や事業者とのあっせんを申し出られます。違法かどうかなど、法律上の判断を求める相談は、このダイヤルでは受け付けていません。

「流出した個人情報を削除してあげる」という電話は本物？

国民生活センターは、個人情報の削除を理由に電話をすることは絶対にないとしています。相手にせず電話を切り、お金を求められたら消費者ホットライン188に相談します。

関連記事

プライバシー・個人情報

顔認証やAIカメラで自分の顔が登録されている？顔のデータは個人情報で、登録の有無は運営者に開示を求められる

プライバシー・個人情報

ChatGPTに個人情報や会社の情報を入力しても大丈夫？入力したデータの行き先と、学習を止める設定

プライバシー・個人情報

会社の情報や個人情報をAIに入力してしまった。あとからできるのは、会話の削除と社内への早めの報告