（2026年10月27日時点のニュースをもとにまとめました）
ニュースには、聞きなれないカタカナがたくさん出てきます。
この解説では、ニュースに出てくる言葉をそのまま残して、そのとなりに「たとえば、こういうこと」と書きました。
テレビや新聞でその言葉を見たときに、「ああ、あの話か」と分かるようにするためです。
ひとことで言うと
9月の終わりごろから、会社のコンピューターに犯人が入りこみ、お客さんの情報が持ち出される事件 が、毎日のように続いています。
10月26日には、新幹線の予約サービス（スマートEX・エクスプレス予約）の利用者の情報が漏れた、と発表されました。
ところが破られたのは JR ではなく、JR の代わりに お客さんへメールを送っていた会社（ユミルリンク） です。
そこから漏れたかもしれない情報は、のべ 5162万件 にのぼります。
ほかにも 焼肉きんぐ・Joshin・楽天トラベル・タイムズカー と、よく知っている名前が次々に出てきました。
中には 運転免許証の画像 まで漏れた例もあります。
漏れることを、わたしたちが止めることはできません。
でも、漏れたあとに届くニセのメールに引っかからないこと はできます。
動画で見る（2話・各3分）
この解説を、聞き手と解説役の掛け合いの動画にしました。文章を読むのがおっくうなときは、こちらからどうぞ。
※ 画像と音声は AI で生成しています。
ニュースの言葉とたとえ ― 早見表
| ニュースに出てくる言葉 | たとえると | 本当はなにか |
|---|---|---|
| 個人情報の流出・漏えい | 宛名リストを 泥棒に持ち出される こと | 名前・メールアドレス・電話番号などが、外の人の手にわたること |
| 不正アクセス | 空き巣（勝手に建物に入られること） | 許可なく、他人のコンピューターに入りこむこと |
| メール配信サービス | いろいろなお店の お知らせハガキを、まとめて刷って送る印刷屋さん | 会社の代わりに、お客さんへメールを一斉に送るサービス。ユミルリンクはこの会社 |
| 委託先（いたくさき） | 仕事をまかせている 下請けの印刷屋さん | 会社が仕事をまかせている、別の会社 |
| 延べ（のべ）○件 | 同じ人が 何回も数えられている かもしれない数 | 重複をのぞいていない件数。人数とは限らない |
| フィッシング | 本物そっくりのニセの手紙 で、暗証番号を書かせる手口 | 本物の会社を名乗るメールで、パスワードやカード番号を入力させる詐欺 |
| ランサムウェア | 家の中のものを 金庫に閉じこめて「開けてほしければ金を払え」 と言う手口 | データを使えなくして、お金（身代金）を要求するウイルス |
| サプライチェーン攻撃 | 本丸ではなく、裏の小さな倉庫から入る 泥棒 | 守りの固い大企業ではなく、つながっている取引先・子会社・委託先から入りこむ攻撃 |
| 攻撃の自動化（AI） | 泥棒が ロボットを何千台も使って、一晩じゅうドアを全部ためす こと | AI を使ったプログラムが、守りの穴を探す・入る・情報を持ち出すまでを自動でやること |
| ダークウェブ | 盗品が売り買いされる 闇市（やみいち） | ふつうの方法ではたどりつけない、インターネットの裏側の場所 |
| 二次被害 | 盗まれた宛名を使って、あとから別のだましが届く こと | 漏れた情報を使った詐欺・なりすまし・勝手な借金など |
1. 新幹線の予約サービスから漏れた？ ― 破られたのは JR ではなかった
何が起きたの？
10月26日、JR東海・JR西日本・JR九州が、新幹線の予約サービス
「スマートEX」「エクスプレス予約」 に登録した人の個人情報が漏れた、と発表しました。
メールアドレスや、カタカナの名前 がふくまれます。
これを聞くと「JR がハッキングされたの？」と思いますよね。
でも、破られたのは JR ではありません。
破られたのは「メールを送る会社」
JR は、お客さんへのお知らせメールを送る仕事を、ユミルリンク という会社にまかせていました。
こういう会社を メール配信サービス、仕事をまかせた先を 委託先（いたくさき） と言います。
ユミルリンクは、JR だけでなく、いろいろな会社や自治体 のメールを、まとめて送っていました。
ほとんどの人は、名前を聞いたこともない会社です。
印刷屋さんにたとえると
いろいろなお店が、お客さんに送る お知らせのハガキ を、
同じ印刷屋さんにまとめて頼んでいた とします。
その印刷屋さんには、たくさんのお店の、お客さんの宛名 が集まっています。
そこに泥棒が入ったら――
いろいろなお店のお客さんの宛名が、いっぺんに盗まれてしまいます。
今回起きたのは、まさにこういうことです。
使った覚えのない会社から、自分の情報が漏れることがある
900万件 → 5162万件にふくらんだ
| いつ | できごと |
|---|---|
| 10月16日 | ユミルリンクが不正アクセスに気づく |
| 10月19日 | 「のべ 約900万件 が漏れた可能性」と発表 |
| 10月26日 | 調べるうちに「のべ 5162万8280件」にふくらむ。まだ増えるかもしれない |
「のべ」 というのは、同じ人が何度も数えられている分もふくむ、という意味です。
日本の人口の半分近い数ですが、5千万人の情報が漏れた、という意味ではありません。
それでも、とてつもない数です。
GMO の事件と同じ形
先日の GMO の不正アクセス事件 では、
いろいろな会社の「通帳と暗証番号」が、一つの貸し部屋にまとめて置いてあった ために、被害が一気に広がりました。
今回も同じです。
便利だからと一か所にまとめて預けると、そこが破られたときに、まとめて取られる
2. 本当にこわいのは、漏れた「あと」
もうニセのメールが届いている
ユミルリンクは、自分の会社の名前（ドメイン）を使って、クレジットカード会社などを名乗る迷惑メール が送られていることを確認した、と発表しています。
こういう、本物の会社のふりをしたメールで
パスワードやカード番号を入力させる手口を フィッシング と言います。
なぜ漏れたあとが危ないの？
メールアドレスと名前が漏れると、犯人は
「○○様、新幹線のご予約について」
のように、あなたの名前入りで、本物そっくりのメール を送れるようになります。
名前が合っていると、つい信じてしまいますよね。
だから、
漏れたことそのものより、漏れたあとに届くメールのほうが、ずっと危ない
のです。
どうすればいいの？
- メールやショートメッセージ（SMS）の中の リンクは押さない
- 気になったら、いつも使っているアプリ や、自分で登録したブックマーク から、その会社のページを開いて確かめる
- 「お詫び」「補償」「本人確認」など、あわてさせる言葉 が入っていたら、とくに疑う
3. 10月だけで、こんなに漏れている
ユミルリンクだけではありません。10月に入ってからのおもな例です。
| 会社・サービス | 漏れた（かもしれない）件数 | おもな中身 |
|---|---|---|
| ユミルリンク（スマートEX・エクスプレス予約など） | のべ 5162万件 | メールアドレス（ほかは調査中） |
| 焼肉きんぐ の公式アプリ | 1078万件 | 名前・メールアドレス・電話番号。アプリ登録者の ほぼ全員 |
| Joshin（家電量販店） | 最大 600万件以上 | 名前・住所・電話番号。一部に免許証の画像・マイナンバーカード・口座番号 |
| 楽天トラベル（海外ホテルの予約ページ） | 最大 約260万件 | 名前・メールアドレス・電話番号。約3万6000件はカードの下4桁と有効期限も |
| タイムズカー（カーシェア） | 会員情報 約660万件、免許証の画像など 約160万件 | 名前・生年月日・住所・電話番号、運転免許証の画像 |
このほかに、デジタル庁 など国の機関も被害にあっています。
専門家（ITジャーナリストの三上洋さん）は、シルバーウィークのあとから
「前代未聞のペース で漏えいが起きている」と話しています。
しかも、共通の原因が分かっていない
ふしぎなことに、これだけ続いているのに、
「全部これが原因です」という共通点は、専門家でもまだ見つかっていません。
会社ごとに、入られ方がちがうのです。
さらに、被害にあった会社の多くが くわしいことを発表していない ので、分析もしにくくなっています。
（犯人と 身代金 のやりとりをしているときに、「どれくらい被害が出ているか」という手の内を見せたくない、という事情があるそうです）
4. なぜ今、こんなに狙われるの？
三上さんの説明をもとに、3つの理由にまとめます。
理由1：攻撃が AI で自動化された
これまでは、人間の犯人が一つずつ穴を探していました。
今は AI を使ったプログラム が、
- 会社や自治体の 守りの穴を自動で探し
- 見つけたら 入りこみ
- 中の 情報を探して持ち出す
ところまで、全部やってしまいます。 人間よりずっと速いのです。
泥棒が ロボットを何千台も使って、一晩じゅう、家のドアを全部ためしている ようなもの
理由2：大企業より、つながっている小さな会社が弱い
日本の大きな会社は、それなりに守りを固めています。
でも、その会社が仕事をまかせている 取引先・子会社・委託先 などの小さな会社は、守りが弱いことが多い。
そこから入られる事件が多い そうです。
これを サプライチェーン攻撃 と言います。
本丸ではなく、裏の小さな倉庫から入る
さきほどのユミルリンク（JR から見た委託先）も、この形に近いと言えます。
理由3：「日本は払ってくれる」と思われているかもしれない
今年1月の調査（JIPDEC＝日本情報経済社会推進協会）では、
ランサムウェアの被害にあった日本の会社 507社のうち、およそ 44％ が身代金を払っていた ことが分かっています。
三上さんは、
「日本は大企業もやられるし、お金を払うところも多い。だったら日本企業は狙いやすいぞ、と思われているのかもしれない」
と話しています。
払う会社が多いと、ゆすりが「もうかる商売」になってしまい、また次の会社が狙われます。
（GMO が「身代金は払わない」と決めたのも、この理由からです）
しかも、犯人はなかなか捕まらない
ランサムウェアの大きな犯人グループが捕まった例は、世界でも 10件にも届かない ほどしかありません。
国の軍が関わっているようなグループだと、さらに難しくなります。
5. 免許証が漏れると、なにがこわいの？
パスワードは変えられる。顔は変えられない
メールアドレスやパスワード、クレジットカードの番号なら、
漏れても 変える ことができます。
でも、運転免許証 に書いてある 名前・生年月日・顔写真 はどうでしょう。
三上さんは、
「自分の氏名や顔を変えるわけにはいきませんから、これはとても漏れるとこわい」
と話しています。
タイムズカーでは、免許証の画像などが 約160万件 漏れました。
免許証で、どんな悪いことができるの？
- 他人の免許証を使って、勝手に借金をする
- 勝手に銀行口座を作る（犯罪のお金の通り道に使われる）
- 集めた免許証の画像を「日本の免許証 160万件セット」として、ダークウェブ（闇市）で売る
警察庁は、インターネットでスマホを契約するときに マイナンバーカードの IC チップ を使わないとできないようにして、対策をしています。
それでも、窓口に、他人の免許証を「闇バイト」の人が持ってくる ような手口には、まだ対応しきれていません。
6. わたしたちにできること ― 3つ
漏れることを、わたしたちが止めることはできません。
でも、漏れたあとに引っかからないこと はできます。
- パスワードを使い回さない
一か所で漏れても、ほかのサービスまで入られないようにする
（二段階認証――パスワードのほかに、スマホに届く番号も入れる仕組み――が使えるなら設定する） - メールやショートメッセージのリンクは押さない
気になったら、いつも使っているアプリや、自分で登録したブックマークから確かめる - 会社から「お詫び」のお知らせが来たら、その会社の名前を使ったニセのメールにも気をつける
「お詫びにポイントを差し上げます」「本人確認をお願いします」は、犯人がいちばん使いたい言葉です
まとめ
- 新幹線の予約サービスの情報流出で、破られたのは JR ではなく、メールを送る仕事をまかされていた会社（ユミルリンク）。漏れたかもしれない情報は のべ 5162万件
- いろいろな会社の宛名が 一か所の「印刷屋さん」に集まっていた ので、一つ破られただけで、いっぺんに広がった（GMO の事件と同じ形）
- 10月だけでも 焼肉きんぐ・Joshin・楽天トラベル・タイムズカー と、前代未聞のペースで流出が続き、共通の原因はまだ分かっていない
- 背景には、AI による攻撃の自動化、つながっている小さな会社の弱さ（サプライチェーン）、身代金を払う会社が多いこと がある
- 免許証の画像 は、パスワードとちがって 変えられない。借金や口座の悪用、闇市での売り買いにつながる
漏れることは、もう防げない。でも、漏れたあとに引っかからないことはできる
――そういうニュースです。