第１ 最初に行うことと本記事の対象
１ 公式の連絡先で通知の真偽と対象範囲を確認する
個人情報漏えいの通知を受けた場合は，①公式の経路で通知を確認する，②自分に関係する流出項目を確かめる，③不正ログインや不正送金等の拡大を止める，④通知と対応の証拠を保存する，という順で進める。
進行中の不正利用がある場合は，資料を全て揃えるまで停止の依頼を待たない。
通知メールやSMSに書かれたリンクや電話番号だけを信用せず，普段使っている公式アプリ，ブックマーク又は契約書にある連絡先から事業者の案内を確認する。
IPAの不正ログイン対策も，不審な連絡の真偽は公式サイトや公式アプリから確認することを勧めている。
補償や返金の手続を装った連絡に，認証コード，パスワード又は口座の暗証番号を渡さない。
２ 会社全体の公表と自分の情報を分ける
公表された件数が，自分の流出項目を示しているとは限らない。
退会者，登録途中の者，同行者又は法人契約の登録利用者も対象に含まれる場合があるため，利用時期，登録情報，対象サービス及び通知の対象条件を確認する。
事業者には，自分が対象か，どの項目が漏えいしたか又はそのおそれがあるか，いつのデータか，確認済みの事実と調査中の事項は何かを問い合わせる。
本記事は，令和８年１０月１３日時点で確認した官公庁の案内と事業者の公表に基づく，本人向けの初動の説明である。
問い合わせ内容と証拠のまとめ方は，これらを踏まえた実務上の提案である。
事業者の報告義務の判断や慰謝料の額は，末尾の関連記事で別に扱う。
第２ 流出項目ごとの対処
１ ID，パスワード，メールアカウント
認証情報が流出した場合は，対象サービスの公式の手順で変更し，同じパスワードを使っている他のサービスも変更する。
個人情報保護委員会の令和８年８月１９日の注意喚起は，メールサービスの流出したパスワードと同一又は類似のパスワードを他のサービスで使っている場合にも変更を求めている。
ハッシュ化して保存されていたという説明だけで，変更が不要であると判断しない。
自分でログインできる場合は，パスワード変更に加え，登録メールアドレスや電話番号に不審な変更がないか確認し，多要素認証の設定を検討する。
ログインできない場合は，公式の復旧手順とサポート窓口を使う。
これはIPAの被害時の対処に沿った対応である。
メールアカウントが影響を受けた場合は，メールだけでなく，そのアドレスをパスワード再設定先とするサービスも洗い出すとよい。
利用できる機能に応じて，ログイン履歴，転送設定，送信済みメール，接続アプリ及び継続中のセッションを確認し，不審な設定は記録を残して修正する。
パスワード変更だけで，提供者側の管理者権限の侵害や既に流出したファイルが解消するわけではないため，提供者による封じ込めの説明も確認する。
２ 氏名，住所，電話番号，予約情報
氏名や住所を知っている相手からの連絡でも，事業者本人であるとは限らない。
漏えいした情報を使って，返金，予約変更，配送確認又は追加料金を口実とする連絡が届く可能性を考え，公式の窓口で確認する。
予約日時，移動経路又は同行者の情報が含まれる場合は，不審な変更やキャンセルも確認する。
アドベンチャーの令和８年１０月９日のskyticketに関する公表は，氏名等，返金先口座情報及びバス予約情報で二次被害の可能性を分けて説明している。
このように，同じ事業者の事故でも，対象になった経路と項目ごとに取るべき行動は異なる。
住所や移動情報の流出により，つきまとい等の具体的な危険がある場合は，金銭被害だけを基準にせず，安全確保と警察への相談を優先する。
３ 口座情報，カード情報，不審な取引
口座番号等の流出と，暗証番号やログイン認証情報の流出は区別する。
口座情報が知られたことだけで直ちに預金が引き出されると決めつけず，返金等を装って追加の認証情報を求める連絡に注意し，取引明細を確認する。
skyticketの公表も，口座情報の悪用と，追加情報を聞き出す連絡の危険を分けている。
身に覚えのない送金，購入又は請求がある場合は，銀行，カード会社又は決済サービスの公式窓口に速やかに連絡し，停止，調査及び補償申出の方法を確認する。
警察庁のフィッシング対策は，被害を受けたサービス提供会社への相談と警察への通報・相談を案内している。
補償の有無や申出期限はサービスと事情によって異なるため，必ず全額戻るとも，漏えい通知があれば補償されるとも扱わない。
４ 本人確認書類，医療資料，写真及び保存ファイル
本人確認書類の画像，医療資料，紛争資料又は写真が対象の場合は，「個人情報が流出した」という通知だけで済ませず，具体的な書類，画像，保存期間及び閲覧・取得の範囲を事業者に確認する。
パスワードを変更しても，既に取得された書類や画像を回収できたことにはならない。
一律に書類の再発行をすれば解決すると考えず，書類の発行機関や利用先に，今回の事情に応じた対処があるか相談する。
楽天ドライブの令和８年１０月６日の公表には，利用者が保存した写真や文書が不正に取得・閲覧された事案が含まれる。
保存サービスの事故では，アカウントの登録項目だけを点検するのでは足りず，自分が保存したファイルの内容も確認対象になる。
会社や法律事務所の資料を保存していた場合は，個人で抱え込まず，所属先の事故対応責任者へ安全な経路で連絡する。
第３ 証拠を残しながら二次被害を防ぐ
１ 通知，公表，問い合わせの原本を保存する
通知メールは添付ファイルとともに保存し，可能であれば完全なメールヘッダーを含む形式も残す。
公表ページはURL，閲覧日時及び公表・更新日が分かるように保存し，続報で変更された場合は旧版を上書きしない。
画面のスクリーンショットだけでなく，元のメールや明細も保管する。
問い合わせでは，質問，回答，担当窓口，受付番号及び日時を記録する。
「流出していないと確認した」のか，「現時点で流出を確認できない」のかを区別し，回答の範囲を残すとよい。
通知や証拠の共有先は，相談窓口等の必要な相手に絞り，氏名，口座情報又は本人確認書類をSNSに掲載しない。
２ 被害と対処を時刻順にまとめる
①通知を受けた日時と方法，②不審なログインや連絡を確認した日時，③身に覚えのない取引の日時・金額・取引番号，④変更・停止・相談を行った日時と結果，⑤支出の領収書や明細をまとめる。
本人が直接確認した事実，事業者の説明及び推測を分けて書くと，調査や相談で誤解を減らせる。
証拠保存は，進行中の不正利用を放置する理由にはならない。
差し迫った被害ではまず公式窓口に停止を依頼し，可能な範囲で操作前後の画面と実施時刻を記録する。
事業者にも，関係するログや問い合わせ履歴の保存を依頼したことを記録しておくとよい。
第４ 相談先と事業者に確認する事項
１ 相談の目的で窓口を選ぶ
アカウント復旧はサービス提供者，不正な取引は銀行・カード会社等，犯罪が疑われる場合は警察，技術的な対処はIPAの情報セキュリティ安心相談窓口が相談先となる。
個人情報の取扱いに関する苦情や制度上の質問は，個人情報保護委員会の相談ダイヤルでも案内されている。
同ダイヤルは助言や制度の説明を行う窓口であり，個別事故の違法性や損害賠償額の判断を求める窓口ではない。
弁護士へ相談するときは，通知と事業者の公表，問い合わせ履歴，被害の時系列，取引明細及び支出資料を持参する。
専門用語や被害件数を完全に理解することよりも，自分に関係する項目と実際の出来事を示せることが重要である。
２ 返答を求める項目を具体化する
①自分が対象かどうかとその確認方法，②流出した項目・ファイルと対象期間，③閲覧・取得・改変のうち確認された行為，④不正利用の確認時点と調査範囲，⑤必要な対処と費用の取扱い，⑥続報の予定と問い合わせ先を確認する。
調査中の事項は，現時点の回答と，次に回答する時期を分けてもらうとよい。
漏えいの危険度を比較したランキング，公表された件数又は謝罪の有無だけで，自分の被害や賠償額を決めることはできない。
慰謝料や費用の請求を検討する場合は，情報の内容，流出範囲，具体的な被害及び事業者の対応を個別に確認する必要がある。
第５ 関連記事
①個人情報漏えいの慰謝料はいくらか―ベネッセ事件最高裁判決と裁判例の認容額
②タイムズカー約６６０万アカウントの個人情報漏えいから考える本人通知
③外部委託先で個人情報が漏えいした場合の委託元の対応
④法律事務所のサイバー事故初動チェックリスト
第６ 出典
①IPA「インターネットサービスへの不正ログインによる被害が増加中」（令和７年８月２８日）
②個人情報保護委員会「ＫＤＤＩ株式会社及びインターネットサービスプロバイダに対する個人情報の保護に関する法律に基づく行政上の対応並びにメールサービス利用者に対する注意喚起について」（令和８年８月１９日，３頁）
③株式会社アドベンチャー「不正アクセスによるお客様情報の流出に関するお詫びとお知らせ」（令和８年１０月９日）
④楽天ドライブ「『楽天ドライブ』における不正アクセスの発生について」（令和８年１０月６日）
⑤警察庁「フィッシング対策」
⑥IPA「情報セキュリティに関する技術的なご相談」
⑦個人情報保護委員会「個人情報保護法相談ダイヤル」