個人情報漏えいを、いつまで「またか」で済ませるのか

リサ

2026年7月30日 11:31

――アフラックから届いた通知書と、生成AIが変える漏えい後のリスク

2026年7月観測
Observer Zero

数日前、パートナー宛てに、アフラック生命保険から一通の封書が届いた。

個人情報が漏えいしたという通知だった。

最近、この種の知らせは珍しくない。企業からお詫びの文書が届いても、多くの人は「またか」と思うようになっている。我が家も、最初はそうだった。

だが、封を開けて中身を読んだとき、少しだけ立ち止まった。

通知書には、契約者氏名、生年月日、性別、住所、電話番号、証券番号、保障内容、そして一部の顧客については金融機関名、支店名、口座番号、口座名義までもが漏えいした可能性があると書かれていた。対象は約438万人、うち約23万人は保険料振替口座の情報を含むという。マイナンバーとクレジットカード情報は含まれていないとも記されていた。

そして、こう続いていた。

「2026年6月30日時点では、本件に関わる情報の不正利用等は確認されておりません」

預金が消えたわけではない。なりすまし契約が見つかったわけでもない。では、我が家はまだ被害者ではないのだろうか。

私たちは、なぜ慣れてしまったのか

情報漏えいの通知は、インターネット時代を通じて何度も届いてきた。メールアドレスが漏れました、パスワードを変更してください、現時点で不正利用は確認されていません。そのたびに人々は身構え、そして多くの場合、目に見える被害は起きなかった。

海外でも、情報漏えいの通知を受け取ったことが、そのまま防御行動につながるとは限らない。Ponemon Instituteが2014年に米国の成人797人を対象に行った調査では、過去2年以内に受け取った通知への最も多い反応が、「通知を無視して何もしなかった」の32％だった。

Equifaxの大規模漏えい後に24人へ聞き取りをした別の研究では、14人が何の行動も取らず、信用凍結まで行った人は4人にとどまった。小規模な聞き取り調査ではあるが、通知が届くことと、実際に身を守る行動を起こすことの間に距離があることが見える。

また、161通の情報漏えい通知を分析した研究では、多くの通知が読みにくく、複数の推奨行動にも優先順位が示されず、利用者が何をすればよいのか判断しにくい問題が指摘されている。通知の形式そのものが、行動に結びつきにくくする一因になっている可能性もある。

Cambridge Analytica事件の実際の被害者を追跡した研究では、被害直後には信頼の低下や侵害されたという感覚が強く表れた。しかし約6か月後には、被害者と非被害者の態度の差がほぼ見られなくなった。高い切り替えコストもあり、サービスから離れる行動には結びつきにくかったと分析されている。

強い反応が長く続かず、生活に組み込まれたサービスを使い続ける現実も、「またか」という適応が生まれる背景の一つなのかもしれない。

「またか」は、無関心の表れではなく、警告を繰り返し受けながら、その都度何も起きなかった経験の積み重ねから生まれた、ある種の適応だったようにも見える。

生成AIは、何を変えたのか

その適応が今も通用するのかを考えるには、AIの話をする前に、日本にすでにある数字を見ておいた方がいい。

警察庁が公表した令和7年の確定値によると、特殊詐欺の認知件数は27,832件、被害額は約1,423億円にのぼり、件数・金額ともに過去最悪を更新した。既遂1件あたりの被害額は平均で523万円を超える。中でも急増しているのが、警察官を装って現金やキャッシュカードをだまし取る手口で、電話で接触したのち、SNSのビデオ通話へ誘導し、偽の警察手帳や逮捕状まで見せて信じ込ませる事例が確認されている。氏名や住所、家族構成といった個人情報を使い、相手ごとに会話を組み立てるという意味では、この手口はすでに生成AIを持ち出すまでもなく、高度に個別化されている。

生成AIが変えるのは、この個別化と会話の作り込みにかかる手間とコストだと言われている。海外の研究では、公開情報だけを材料に、対象者ごとに異なる文面を数百通単位で、1通あたり1円にも満たない費用で作成できることが実験で示されている。

米国のある連邦準備銀行は、盗まれた個人情報が生成AIによる合成身元詐欺の燃料になり得ると表現し、警戒を呼びかけている。

今年7月には、FBIが、AIで生成した偽の映像を使って過去の詐欺被害者に再び接触し、個人情報を集めようとする手口について注意喚起を出した。

漏えいした氏名、生年月日、住所、電話番号、契約に関する情報は、犯罪者が別の窓口に本人を装って接触する際の照合材料にもなり得る。ただし、それだけで本人確認を突破できると断定できるわけではない。

生成AIが、漏えいした個人情報を使って詐欺を実行したと、捜査機関や企業が公式に確認した事例は、今回調べた範囲ではまだ見つからなかった。だが、個別化のコストを下げる技術と、盗まれた個人情報を警戒する公的な発言と、実際に運用されているなりすまし詐欺は、それぞれ別々にすでに存在している。部品はもう揃っている、と言った方が正確かもしれない。

しかも、漏えいした個人情報の影響は、家庭の中だけで終わるとは限らない。会社員も経営者も取引先担当者も、家庭では保険や通信、通販を利用する一人の消費者である。そこで漏れた情報が、本人や取引先を装う材料となり、企業の認証や信頼関係へ持ち込まれる可能性もある。

「不正利用は確認されていません」で安心できるのか

通知書に書かれていた「2026年6月30日時点」という一文について、もう少し立ち止まって考えたい。

対象者への通知書の発送が始まったのは、2026年7月10日だった。ところがアフラックは、その3日後にあたる7月13日、「第二報」として内容の一部を訂正している。最初の不正アクセスが発生した日は6月15日から6月10日へ、対象となる顧客数は約438万人から約440万人へ、保険料振替口座の情報を含む顧客数は約23万人から約22万人へと、それぞれ書き換えられた。メールアドレスは含まれていないことも、この第二報で新たに明記されている。

つまり、我が家に届いた紙の通知書に印刷された一部の事実は、発送が始まってわずか3日後には、会社自身の公式な発表によってすでに更新されていたことになる。

これは、アフラックが嘘をついていたという話ではない。不正アクセスの調査が進めば、発生日も件数も動く。それ自体は誠実な訂正のはずだ。

ただ、調査結果はその後も動き続けるのに対し、家庭に届いた一枚の通知書は、その日のまま止まっている。「現時点で確認されていない」という言葉も、6月30日、7月10日、7月13日と、その都度の「現時点」を指しているにすぎない。どの時点をもって不正利用が「確認された」とみなすのか、家庭が知る手立てはない。

数年後、別の漏えい情報と組み合わさって何かが起きたとしても、それが今回のアフラックの漏えいに由来すると証明することは、被害者にも会社にもおそらく難しい。「不正利用は確認されていない」という言葉は、時間の面でも、原因を特定できる範囲という面でも、限られた言葉なのかもしれない。

「またか」を更新する時期に来ている

アフラックが何もしていないわけではない。金融庁と警察へ報告し、一部システムを停止し、関係する金融機関との連携も始めている。コールセンターも設けられている。事故対応として、必要とされることの多くは行われているように見える。

それでも、漏えい後にどうなるかを見張り続ける役目は、通知書とともに家庭へ渡されている。不審な電話を疑う。SMSのリンクを警戒する。口座の動きを確認する。家族にも伝えておく。その作業に、終わりの時期は書かれていない。

インターネット時代、私たちは何度も情報漏えいの通知を受け取りながら、目立った被害を経験しなかった。そのため「またか」と受け流すことを覚えた。だが、個人情報を利用した詐欺がすでに過去最悪の規模に達し、生成AIがその個別化と量産のコストを下げていく時代にも、その経験則はこれまでと同じ強さで、私たちを守ってくれるのだろうか。

通知書はもう手元にある。だからこそ、観測を続けていく。

参考欄

Ponemon Institute（2014年）：情報漏えい通知を受け取った消費者の反応に関する調査

https://www.ponemon.org/local/upload/file/Consumer Study on Aftermath of a Breach FINAL 2.pdf

Yixin Zouほか（2018年、SOUPS）：Equifax大規模漏えい後の消費者への聞き取り調査

https://www.usenix.org/system/files/conference/soups2018/soups2018-zou.pdf

Yixin Zouほか（2019年、CHI）：情報漏えい通知161通の可読性・実用性分析

https://doi.org/10.1145/3290605.3300424

Frederic Schlacklほか（2026年、Information Systems Research）：Cambridge Analytica事件の実被害者を対象にした追跡調査

https://pubsonline.informs.org/doi/10.1287/isre.2023.0391

アフラック生命保険株式会社（2026年6月30日）：不正アクセス発生および情報漏えいに関する第一報

https://www.aflac.co.jp/static/corp/profile/news/2026/20260630.pdf

アフラック生命保険株式会社（2026年7月13日）：発生日・漏えい件数の訂正を含む第二報

https://www.aflac.co.jp/static/corp/profile/news/2026/20260713.pdf

アフラック生命保険株式会社：本件に関するFAQ

https://www.aflac.co.jp/info/yorisou_faq.html

日本経済新聞（2026年7月1日）：アフラックの情報流出と契約者への注意喚起

piyolog（2026年7月8日・7月14日更新）：アフラック生命保険への不正アクセスの経緯まとめ

警察庁（令和7年確定値）：特殊詐欺及びSNS型投資・ロマンス詐欺の認知・検挙状況等について

https://www.npa.go.jp/bureau/criminal/souni/tokusyusagi/sagi_keihatsu2025.pdf

Julian Hazell（2023年）：大規模言語モデルを用いたスピアフィッシングに関する実験論文

Federal Reserve Bank of Boston（2025年）：生成AIが合成身元詐欺を加速させるとする分析

FBI IC3（2026年7月20日）：AI生成映像を用いたなりすまし詐欺に関する注意喚起

個人情報漏えいを、いつまで「またか」で済ませるのか

――アフラックから届いた通知書と、生成AIが変える漏えい後のリスク

いいなと思ったら応援しよう！