企業法務・民事実務

目次

第１　本記事の対象と結論の要旨１　本記事が扱う事案２　結論の要旨第２　公表された事実関係１　第１報から第３報まで２　第４報（令和８年１０月１６日）３　二次被害と不審な連絡第３　後払い決済の仕組み１　立替払契約と保証２　割賦販売法の対象にならない理由第４　個人情報保護法上の報告と本人への通知１　報告義務を負う者２　加盟店に報告義務はあるか３　本人への通知と「代わるべき措置」第５　利用者が確認すること１　不審な連絡への対応２　商品明細が含まれることの意味３　損害賠償の見通し第６　加盟店（通販事業者）が確認すること１　自社の顧客への説明２　契約と決済手段の見直し第７　関連記事第８　出典１　公表資料２　法令・ガイドライン等３　裁判例
第１　本記事の対象と結論の要旨
１　本記事が扱う事案

本記事は，ヤマト運輸株式会社が，「クロネコ代金後払いサービス」への第三者による不正アクセスを令和８年９月２８日に確認し，利用者の情報等が持ち出された事案について，公表された事実を整理した上で，利用者と加盟店（後払い決済を導入している通販事業者）が確認すべき事項と，後払い決済の法的な仕組みを説明するものである。
事実関係は，ヤマトホールディングスの公式サイトに掲載された第１報から第４報までに基づく。
本記事の記載は，令和８年１０月２５日時点で確認できた公表資料と法令に基づく。

２　結論の要旨

①令和８年１０月１６日の第４報によれば，持ち出しが判明したのは，利用者の情報約５２６万件，お届け先の情報約５万件及び加盟店の情報約４１００件であり，利用者の情報には氏名，住所，電話番号，メールアドレスのほか，商品明細（商品名，数量，単価等）が含まれる。
②クレジットカード情報とパスワード情報は含まれておらず，第２報で漏えいの可能性があるとされた請求金額，債権残高及び同社社員の氏名は，持ち出しが確認されなかったとされている。
③個別の連絡が難しい利用者については，第４報の公表をもって通知に代えるとされており，これは個人情報保護法２６条２項ただし書の「代わるべき措置」として事案を公表する方法に当たると考えられる。
④同サービスの規約上，同社は購入者との間で立替払契約を結び，加盟店から購入者の個人情報と購入情報の提供を受けるとされている。
この仕組みを前提にすると，持ち出された利用者の情報は同社が自らの事業のために取り扱っていた個人データであり，個人情報保護委員会への報告と本人への通知は，加盟店ではなく同社の義務になると考えられる。
⑤割賦販売法の個別信用購入あっせんからは，契約の締結から２か月を超えない範囲内で定められた時期までに受領するものが除かれており，商品を受け取った後に届く払込票で１４日以内に一括して支払う同サービスの立替払いは，通常この除外に当たると考えられる。
⑥利用者が損害賠償を求める場合の慰謝料の水準は，漏えいした情報の内容，流出の範囲，実害の有無及び事業者の事後の対応によって決まり，商品明細という購入の内容が含まれる点がどう評価されるかは，個別の事情による。

第２　公表された事実関係
１　第１報から第３報まで

第１報（令和８年９月２９日）によれば，同社は，９月２８日に「クロネコ代金後払いサービス」が第三者による不正アクセスを受けたことを確認し，外部からのアクセス制限等の対策を講じるとともに，同日２２時２８分に同サービスを停止した。
宅急便を含む他のサービスは，通常どおり利用できるとされた。

第２報（同年１０月２日）は，漏えいした可能性がある主な情報として，利用者の氏名，住所，電話番号，メールアドレス，与信番号，請求金額，債権残高及び商品明細，加盟店の加盟店名及び加盟店コード並びに同サービスを担当する同社社員の氏名を挙げた。
同時に，クレジットカード情報やパスワード情報などは含まれていないとした。

第３報（同月９日）は，同日１３時に同サービスを再開したことを公表した。
サービス停止期間を考慮し，９月２８日以降に支払期限を迎える払込票については期限が延長され，例えば支払期限日が１０月１日の払込票は，同月１８日が変更後の期限とされた。

２　第４報（令和８年１０月１６日）

第４報は，セキュリティ専門機関の協力を得て調査した結果，同サービスに関わる一部の情報が不正に持ち出されたことが判明したとして，次のとおり公表した。

区分情報項目対象期間件数利用者の情報氏名，住所，電話番号，メールアドレス，商品明細（商品名，数量，単価など），社内管理用情報（申込番号，受注日，与信番号など）平成３０年１０月１日から令和８年９月２８日まで約５２６万件（メールアドレスを含むものは約４９万件）お届け先の情報お届け先の氏名，住所，電話番号，送り状番号令和３年２月５日から令和８年９月２８日まで約５万件加盟店の情報加盟店名，社内管理用情報（加盟店コード）平成３０年１０月１日から令和８年９月２８日まで約４１００件

同報は，クレジットカード情報とパスワード情報は含まれていないこと，第２報で挙げた請求金額，債権残高及び同社社員の氏名は調査の結果持ち出しが確認されなかったこと，個人向けの「クロネコメンバーズ」等の他のサービスからの持ち出しは確認されていないことも明らかにしている。

３　二次被害と不審な連絡

第４報の時点で，同社は，持ち出された情報が不正利用されたことによる二次被害は確認されていないとしている。
他方で，心当たりのない不審なメール・ＳＭＳが届いた，不審な電話がかかってきたといった問合せがあるとして，メール内のアドレスへのアクセスや添付ファイルの開封をせず，不審な電話や郵便物にも慎重に対応するよう呼び掛けている。

第３　後払い決済の仕組み

（続きを読む...）クロネコ代金後払いの情報漏えい（約５２６万件）―持ち出された項目，利用者・加盟店の対応と後払い決済の仕組み（AI作成）

目次

第１　本記事の対象と結論の要旨１　本記事が扱う場面２　結論の要旨第２　「集団訴訟」と呼ばれる手続の種類１　多数の原告による共同訴訟２　選定当事者３　特定適格消費者団体による共通義務確認訴訟第３　消費者裁判手続特例法と慰謝料１　対象となる請求２　慰謝料が対象外とされてきた理由３　慰謝料が対象となる二つの場合４　個人情報漏えいが議論された経緯５　過失による漏えいの慰謝料だけを求める場合６　財産的請求と併せる場合第４　共同訴訟で請求するときの留意点１　原告ごとの主張と証明２　訴訟の目的の価額３　認容額の水準４　消滅時効５　登録，委任契約及び提訴の区別６　参加者の住所・氏名と記録の閲覧７　住所・氏名の変更と連絡・分配の管理第５　関連記事第６　出典１　法令２　公表資料３　裁判例
第１　本記事の対象と結論の要旨
１　本記事が扱う場面

大規模な個人情報の漏えいが公表されると，被害者が集まって損害賠償を求める「集団訴訟」が話題になることがある。
本記事は，個人情報の漏えいについて多数の被害者が損害賠償を求める場合に，日本の法制度上どのような手続があり，消費者裁判手続特例法（消費者の財産的被害等の集団的な回復のための民事の裁判手続の特例に関する法律）の手続がどこまで使えるかを説明するものである。
本記事の記載は，令和８年１０月２５日時点で確認できた法令と公表資料に基づく。

２　結論の要旨

①被害者がそれぞれ原告となって同じ事業者を訴える共同訴訟（民事訴訟法３８条）では，確定判決の効力は当事者となった被害者に及び，訴訟に加わらなかった被害者には及ばない。
②消費者裁判手続特例法には，内閣総理大臣の認定を受けた特定適格消費者団体が原告となる共通義務確認訴訟の制度があるが，精神上の苦痛を受けたことによる損害（慰謝料）は，原則として対象から除かれている（同法３条２項６号）。
③慰謝料が除かれてきたのは，第２段階の手続で個々の債権を適切かつ迅速に判断できること（支配性）と，事業者が被害額の見通しを把握できること（係争利益の把握可能性）を確保するために，対象を類型化したためである。
④令和４年法律第５９号による改正で，慰謝料も，算定の基礎となる主要な事実関係が相当多数の消費者に共通することを前提に，財産的請求と併せて請求する場合か，事業者の故意によって生じた場合に限り，対象となった。
⑤改正に先立つ消費者庁の検討会報告書は，過失による個人情報漏えいの慰謝料を対象外とすべきとの指摘と，個人情報漏えい事案かどうかで対象を決めることは妥当でないとする個人情報保護委員会の指摘の双方を記録している。
⑥その結果，事業者の過失による漏えいについて慰謝料だけを求める場合は，同法の手続を使うことができず，被害者は，自ら原告となるか，選定当事者を選定するなどして，民事訴訟法の手続で請求することになる。

第２　「集団訴訟」と呼ばれる手続の種類
１　多数の原告による共同訴訟

民事訴訟法３８条は，訴訟の目的である権利又は義務が数人について共通であるとき，同一の事実上及び法律上の原因に基づくとき，又は同種であって事実上及び法律上同種の原因に基づくときは，その数人は共同訴訟人として訴えることができると定める。
同じ漏えい事故で個人情報が流出した被害者が，一つの訴えで同じ事業者に損害賠償を求めるのは，この共同訴訟に当たる。
共同訴訟でも，請求権は原告ごとに別であり，どの情報が流出したか，二次被害があったか，損害がいくらかは，原告ごとに主張し，証明する必要がある。
確定判決は当事者に対して効力を有するものであり（民事訴訟法１１５条１項１号），訴訟に加わらなかった被害者には及ばない。

２　選定当事者

民事訴訟法３０条１項は，共同の利益を有する多数の者は，その中から，全員のために原告となるべき一人又は数人を選定することができると定める。
選定された者（選定当事者）が全員のために訴訟を追行するので，多数の被害者が全員で訴訟手続に関わる負担を減らすことができる。
選定当事者が受けた確定判決の効力は，選定をした者にも及ぶ（民事訴訟法１１５条１項２号）。
もっとも，選定当事者になるのは共同の利益を有する者の中の者であり，被害者でない団体が代わりに原告となる制度ではない。

３　特定適格消費者団体による共通義務確認訴訟

消費者裁判手続特例法は，特定適格消費者団体が原告となり，相当多数の消費者に共通する原因に基づいて事業者が金銭を支払う義務を負うことの確認を求める共通義務確認訴訟（第１段階）と，その後に個々の消費者の債権の存否及び内容を確定する簡易確定手続（第２段階，同法２条７号）の２段階で，消費者の被害を回復する制度を定めている。
特定適格消費者団体は，被害回復裁判手続を追行するのに必要な適格性を有する法人である適格消費者団体として，内閣総理大臣の認定を受けた者である（同法２条１０号）。
個々の消費者は，第１段階の訴訟の当事者にならない。
第２段階では，簡易確定手続を申し立てた特定適格消費者団体が，対象となる消費者から授権を受けて，その債権を届け出る（同法３３条１項・３４条１項）。
制度の流れと最高裁判例は，消費者被害の集団的回復手続―共通義務確認訴訟と最高裁令和６年３月１２日判決（AI作成）で整理している。

（続きを読む...）個人情報漏えいで集団訴訟はできるか―消費者裁判手続特例法が慰謝料を原則として対象外とする理由と共同訴訟（AI作成）

目次

第１　記事の対象と結論第２　改正の経緯と施行日１　成立と公布２　罰則の見直しは令和９年１月１７日に施行される３　課徴金を含む主要部分の施行日第３　課徴金制度の骨格１　導入の目的２　対象となる行為３　課される要件４　要件を満たせば納付を命じなければならない第４　課徴金の額１　対価額２　資料が提出されない場合の推計３　１０年以内に繰り返した場合の加算４　自主的な報告による減額５　合併等の場合６　７年の期間制限第５　課徴金納付命令の手続１　弁明の機会２　命令の方式と納期限３　督促・延滞金・強制執行第６　政令・規則の検討状況１　対象外とする「権利利益を害する程度が大きくない場合」２　算定方法・推計方法・自主報告の方法３　今後の日程第７　令和９年１月１７日に施行される罰則の見直し１　改正前後の比較２　個人情報データベース等の不正提供等罪３　不正な手段による個人情報の取得を処罰する規定の新設４　命令違反の罰則と経過期間の読替え５　国外犯第８　事業者が今から確認しておくこと第９　関連記事第１０　出典
第１　記事の対象と結論

本記事は，令和８年法律第５６号「個人情報の保護に関する法律等の一部を改正する法律」による個人情報保護法の改正のうち，課徴金制度の新設と罰則の見直しを扱う。
基準日は令和８年１０月２５日であり，条文はe-Gov法令検索に収録された改正後の条文と，個人情報保護委員会が掲載する改正法の本文で確認した。

結論は次のとおりである。
①罰則の見直しは，附則第１条第３号により，公布の日から起算して六月を経過した日である令和９年１月１７日に施行される。
②課徴金制度は改正法の主要部分とともに，公布の日から起算して二年を超えない範囲内で政令で定める日に施行され，本記事の基準日現在，その日は定まっていない。
③課徴金の対象は，違法な行為又は不当な差別的取扱いが想定される第三者への個人情報の提供等，第三者提供の制限に違反する個人データの提供，統計作成等の特例に違反する取扱い及び不正に取得した個人情報の利用に限られ，本人の数が千人を超えないとき等は課されない。
④課徴金の額は，違反行為又は違反行為をやめることの対価として得た金銭等に相当する額であり，算定方法や対象外とする場合の細目は，政令及び個人情報保護委員会規則の検討段階にある。

第２　改正の経緯と施行日
１　成立と公布

改正法の法律案は令和８年４月７日に国会へ提出され，同年７月１０日に成立し，同月１７日に公布された。
個人情報保護委員会の改正法の特設ページも，この経緯を掲げた上で，政令・規則・ガイドライン等の検討を進めているとしている。

２　罰則の見直しは令和９年１月１７日に施行される

改正法附則第１条本文は，改正法を「公布の日から起算して二年を超えない範囲内において政令で定める日から施行する」と定める。
もっとも，同条第３号は，罰則の改正規定等について，「公布の日から起算して六月を経過した日」から施行すると定めている。
公布の日が令和８年７月１７日であるから，罰則の見直しは令和９年１月１７日に施行され，課徴金を含む主要部分よりも先に適用が始まる。

３　課徴金を含む主要部分の施行日

課徴金制度を定める改正後の第１４８条の３から第１４８条の１７までは，附則第１条本文の政令で定める日から施行される。
e-Gov法令検索の改正履歴でも，主要部分の施行日は「公布の日から起算して二年を超えない範囲内において政令で定める日」と表示されており，本記事の基準日現在，施行日を定める政令は確認できない。

第３　課徴金制度の骨格
１　導入の目的

個人情報保護委員会事務局の「個人情報保護法等の一部を改正する法律について」は，現行法では，違反事業者が勧告・命令等を受けた後に違反行為を中止すれば，違反行為から得た経済的利得をそのまま保持することが可能であると説明している。
そのうえで，経済的誘因のある，大量の個人情報の取扱いによる悪質な違反行為を実効的に抑止するため，重大な違反行為により個人の権利利益が侵害された場合等について，違反行為によって得られた財産的利益等に相当する額の課徴金の納付を命ずることとしたと説明している。

２　対象となる行為

改正後の第１４８条の３第１項は，次の行為を課徴金の対象とする。
①個人情報を利用して違法な行為又は不当な差別的取扱いを行うことが想定される状況にある第三者に対する個人情報の提供
②第三者の求めにより行う個人情報の利用であって，その第三者が利用を通じて違法な行為又は不当な差別的取扱いを行うことが想定される状況にある場合に行われるもの
③第２７条第１項の規定に違反する個人データの提供
④統計作成等の特例について定める第３０条の２第４項若しくは第９項又は第３１条の３第５項の規定に違反する個人情報の取扱い

（続きを読む...）個人情報保護法の課徴金と罰則はどう変わるか―令和８年改正の対象行為，１０００人基準，算定方法と令和９年１月１７日施行の罰則強化（AI作成）

目次

第１　ARTEXについて最初に押さえること第２　AIモデル・攻撃ツール・攻撃者を分ける１　AIモデルは判断や文章生成を担う２　ARTEXは複数の処理を組み合わせる基盤である３　使用ツールだけでは攻撃者を特定できない第３　韓国・国内・ConnectWiseの報告は何が違うか１　CrowdStrikeによる韓国金融分野の調査２　JPCERT/CCによる国内向けの注意喚起３　MicrosoftによるStorm-0940の調査第４　企業が点検すべきこと１　公開システムと権限を点検する２　ログと初動の担当を決める３　IPアドレスだけで断定しない第５　被害調査と責任の問題を混同しない第６　出典・関連記事
第１　ARTEXについて最初に押さえること

ARTEXは，AIを利用するペネトレーションテストのための基盤であり，特定のAIモデルそのものの名称ではない。
ペネトレーションテストとは，実際の攻撃に近い方法でシステムへの侵入の可能性などを調べる試験である。

Microsoft及びCrowdStrikeは，令和８年１０月，ARTEXを悪用した攻撃について調査結果を公表した。
JPCERT/CCも同月２３日の注意喚起の更新で，ARTEXなどを悪用した攻撃試行を取り上げている。

企業にとっての問題は，「中国のAIだから危険」という分類だけでは捉えられない。
公開システムの脆弱性，管理不備，外部サービスに与えた権限などを，攻撃者がAIを使って効率よく探索・悪用し得る点にある。
本稿は，令和８年１０月２４日までに確認した公表資料を基に，仕組みと対策を整理する。

第２　AIモデル・攻撃ツール・攻撃者を分ける
１　AIモデルは判断や文章生成を担う

AIモデルは，入力された情報を基に解析や次の行動の提案などを行う。
どのモデルを使用したかと，どの組織が攻撃したかは，別々の確認事項である。

２　ARTEXは複数の処理を組み合わせる基盤である

Microsoftの説明によれば，ARTEXは，複数のAIエージェントを用いる基盤である。
AIモデルを呼び出すだけでなく，調査や試行の処理を組み合わせて進める。
使用するモデルを変更できるため，ARTEXの悪用を特定のモデル１製品の問題に限定することはできない。

CrowdStrikeが調査した韓国向けの活動では，ARTEXの主なモデルとしてDeepSeekが使われていたと報告されている。
同報告に登場する別のモデルの利用記録まで，すべて同一のARTEX設定だったと読むべきではない。

３　使用ツールだけでは攻撃者を特定できない

同じツールを異なる攻撃者が利用することがある。
「ARTEXが見つかった」という事実だけから，国，組織，動機又は他の事件との同一性まで確定することはできない。
攻撃者の帰属に関する評価には，観測資料と評価の確度を付けて読む必要がある。

第３　韓国・国内・ConnectWiseの報告は何が違うか
１　CrowdStrikeによる韓国金融分野の調査

CrowdStrikeの令和８年１０月７日付け報告は，韓国の金融分野を狙う活動について，公開状態にあった攻撃側の記録などを分析したものである。
同社は，中国語を使用し，金銭目的とみられる攻撃者との評価を示しているが，その確度は中程度とされている。
確定した捜査結果又は裁判所の認定として紹介することは適切でない。

２　JPCERT/CCによる国内向けの注意喚起

JPCERT/CCは，令和８年１０月２３日，注意喚起にケースEを追加した。

（続きを読む...）ARTEXとは―AIサイバー攻撃の仕組みと企業が確認すべき対策（AI作成）

目次

第１　MFAを設定していても確認すべき経路第２　利用者の権限とアプリの権限はどう違うか１　利用者に代わるアクセスとアプリ自身のアクセス２　アプリの資格情報には証明書やシークレットがある第３　ConnectWiseに関する報告で確認できること１　既存の信頼関係が悪用されたとの報告２　認証成功とデータ取得は別の事実である第４　管理担当者に確認したいこと１　外部アプリの台帳２　利用者ログだけで調査を終えない３　条件付きアクセスの適用範囲第５　疑わしいアクセスが見つかったとき１　封じ込めと証拠保全を並行する２　事業者への質問を具体化する３　法務は事実の整理を技術担当と共有する第６　出典・関連記事
第１　MFAを設定していても確認すべき経路

Microsoft 365の不正アクセス対策では，利用者のパスワードや多要素認証（MFA）に注目しがちである。
しかし，バックアップなどの外部サービスが，利用者の操作を介さずに組織のデータへアクセスする構成もある。
利用者のログイン経路と，アプリが自身の資格情報でアクセスする経路を，分けて点検する必要がある。

Microsoftは，令和８年１０月２１日の調査報告で，ConnectWiseに関係するアプリケーション資格情報を悪用し，既にアクセスを許可していた顧客環境へアクセスする活動を報告した。
本稿は，同月２４日までに確認した報告と公式仕様を基に，外部アプリの権限，証拠保全及び委託管理上の点検事項を整理する。
個々の企業の被害や責任を認定するものではない。

第２　利用者の権限とアプリの権限はどう違うか
１　利用者に代わるアクセスとアプリ自身のアクセス

Microsoftの公式説明は，利用者に代わって行う委任アクセスと，利用者の対話的な操作を介さず，アプリ自身のIDで行うapp-onlyアクセスを区別している。
後者は，自動処理や複数の利用者の情報を扱うバックアップなどに使われる。

アプリにどの操作を許すかは，付与されたアプリケーション権限などによって決まる。
外部サービスと契約していることだけでなく，自社環境で何を許可したかを確認しなければならない。

２　アプリの資格情報には証明書やシークレットがある

サービスプリンシパルとは，組織の環境内でアプリなどの主体を表すものである。
そのサインインでは，アプリが証明書やクライアントシークレットなどの資格情報を用いる場合がある。
利用者がその都度パスワードを入力する処理とは異なる。

したがって，利用者のパスワード変更やMFAの設定確認だけで，アプリ側の資格情報や既存の権限まで点検したことにはならない。
MFAを継続しながら，アプリのID，所有者，資格情報，付与権限及び利用状況も調べることが必要である。

第３　ConnectWiseに関する報告で確認できること
１　既存の信頼関係が悪用されたとの報告

Microsoftは，Storm-0940と呼ぶ攻撃者がARTEXを用い，侵害したアプリケーションの資格情報を通じて顧客環境へアクセスしたと評価している。
報告が説明するのは，利用者の対話型ログインを必要としない経路である。
「AIがあらゆるMFAを破った」と言い換えることは適切でない。

ConnectWiseもCloud Backup（旧SkyKick）に関連するアプリケーション資格情報への不正アクセスを公表し，調査及び復旧に関する情報を更新している。
別の製品やポータルについての復旧告知を，Cloud Backupの復旧完了と読み替えないよう注意が必要である。

２　認証成功とデータ取得は別の事実である

Microsoftは，影響するアプリの存在や攻撃者による認証成功だけで，顧客データへのアクセス又は外部への持ち出しがあったとは限らないと説明している。
これは，被害がないと確認したという意味でもない。

（続きを読む...）Microsoft 365の外部アプリ権限と情報漏えい―ConnectWise事案から学ぶ点検事項（AI作成）

目次

第１　レジデンシャルプロキシについての結論１　家庭の回線を第三者へ使わせる仕組み２　利用者が承知している場合と知らない場合がある第２　国内で確認された規模１　一日最大約２万７０００のIPアドレス２　不正送金事件との関係第３　どのような機器が悪用されるのか１　動画視聴端末，ルーター及びカメラ２　無料VPN及び提供元不明のアプリ３　DDoSボット等が追加される危険第４　悪用されていないか確認する方法１　機器とアプリを一覧にする２　通信量と設定の変化を見る３　外部からの到達可能性を確認する第５　悪用が疑われたときの初動１　通信を止めることと電源を切ることを分ける２　初期化や更新の前に記録を残す３　連絡先を整理する第６　平時の対策１　不審な機器及びアプリを導入しない２　更新とサポート期限を管理する３　JC-STAR及びNOTICEを利用する第７　法的責任の考え方１　機器の利用者２　メーカー，販売者及びサービス提供者３　直接判例の確認状況第８　よくある質問１　レジデンシャルプロキシを使うこと自体が違法ですか２　無料VPNを削除すれば安全ですか３　家庭用ルーターを初期化すべきですか第９　出典と確認範囲
第１　レジデンシャルプロキシについての結論

家庭の動画視聴端末，ルーター，ネットワークカメラ等が，利用者の知らない間に第三者の通信を中継する「レジデンシャルプロキシ」として悪用されている。
通信先からは一般家庭のIPアドレスによるアクセスに見えるため，不正送金，不正アクセス及びサイバー攻撃の実行者を隠す基盤となり得る。
本記事では，NICT，総務省及び警察庁の令和８年７月の公式資料を中心に，仕組み，国内の観測結果，確認すべき兆候，初動及び事業者の管理を整理する。

１　家庭の回線を第三者へ使わせる仕組み

レジデンシャルプロキシは，一般家庭向けのインターネット回線に接続した機器が，第三者の通信を中継する仕組みである。
通信先のサービスには家庭へ割り当てられたIPアドレスが記録されるため，攻撃者自身の接続元を把握しにくくなる。
企業が海外のデータセンター等からのアクセスを制限していても，国内の一般家庭からの通信に見えることで，不正検知を回避されることがある。

２　利用者が承知している場合と知らない場合がある

利用規約を読んで通信帯域を提供するサービスもあれば，提供元不明のアプリやマルウェアによって，利用者が気付かないまま中継機器にされる場合もある。
無料VPN又は「通信帯域を提供すれば収益が得られる」とうたうサービスについても，誰の通信をどの目的で中継するかを確認する必要がある。
利用者の認識，表示及び同意の有無と，実際に犯罪へ利用されたかは分けて調べる。

第２　国内で確認された規模
１　一日最大約２万７０００のIPアドレス

NICTは，令和８年１月以降，一日当たり最大約２万７０００のIPアドレスをレジデンシャルプロキシの出口ノードとして観測した。
国内には少なくとも数万台規模のレジデンシャルプロキシが存在すると推定している。
ここでいう数値は観測されたIPアドレス等に基づく推定であり，全ての家庭用IoT機器の台数ではない。

２　不正送金事件との関係

警察庁の分析では，令和６年中のインターネットバンキング不正送金事犯のうち，少なくとも１９１８件，被害額約２８億９０００万円でレジデンシャルプロキシが利用されていた。
被害件数全体の約４４％，被害額全体の約３３％に当たるとされる。
これは，レジデンシャルプロキシ自体が送金を行ったとの意味ではなく，攻撃者が接続元を隠す経路として利用したとの分析である。

第３　どのような機器が悪用されるのか
１　動画視聴端末，ルーター及びカメラ

公式ファクトシートは，「テレビに接続して無料で国内外の動画を視聴できる」などとうたう動画ストリーミング機器，ルーター，ネットワークカメラ及びデジタルフォトフレーム等を挙げている。
安価で提供者又は更新方法が不明な機器，初期パスワードのままの機器，インターネットへ管理画面を公開している機器及びサポート終了後の機器は，特に確認が必要である。

２　無料VPN及び提供元不明のアプリ

パソコン又はスマートフォンへ導入した無料VPN，提供元不明のアプリ及び通信帯域提供サービスによって，端末又は家庭内の機器が中継に使われることがある。
アプリを削除しただけで，ルーターや別のIoT機器に導入されたプログラムまで消えたとは限らない。
同じネットワークに接続している機器，管理アカウント及び外部通信を併せて確認する。

（続きを読む...）レジデンシャルプロキシとは―家庭用IoT機器が犯罪の踏み台になる仕組みと対策（AI作成）

目次

第１　ニューメキシコ州地裁が命じた内容第２　４３８９万９７２５件の内訳第３　違反件数はどのように計算されたか第４　陪審と裁判所が問題とした５分野１　利用者によるデータ管理及び「データを売らない」との表示２　第三者アプリの調査及び利用者への通知３　誤情報及びヘイトスピーチへの対応４　政治家・著名人等に対する異なる取扱い第５　ケンブリッジ・アナリティカ事件との関係第６　上限約２１９５億ドルから２５０億ドルになった理由第７　日本の個人情報漏えい慰謝料と単純比較できない理由第８　第一審判決であり，控訴と差止めの審理が残っている第９　子どもの安全を巡る別事件との区別第１０　関連記事第１１　出典及び確認範囲
第１　ニューメキシコ州地裁が命じた内容

令和８年１０月２１日，米国ニューメキシコ州第１司法地区裁判所は，State of New Mexico ex rel. Raúl Torrez v. Meta Platforms, Inc.（事件番号D-101-CV-2021-00132）について，Facebookを運営するMeta Platforms, Inc.に対し，２５０億ドルの民事制裁金を命じた。
ただし，陪審が認定した４３８９万９７２５件は，個人情報が漏えいした人数でも，被害者の人数でもない。
Metaが公表した２６個の表示ごとに，その表示を受けることが予想された州内の利用者数又は人口を積み上げた州消費者保護法上の違反件数である。

判決は，支払済みとなるまで年１５％の利息を付すとしている。
州が求めている差止めその他の非金銭的救済については，追加の書面提出と審理に留保された。

本件は，利用者の個人情報を直接流出させたことだけに対する損害賠償請求ではない。
ニューメキシコ州が，同州のUnfair Practices Actに基づき，Facebookが利用者に向けて行った表示が不公正又は欺瞞的であったと主張した州法上の執行事件である。

本記事では，ニューメキシコ州裁判所が公開した判決及び陪審評決票に基づき，報道だけでは分かりにくい違反件数の数え方，ケンブリッジ・アナリティカ事件との関係，２５０億ドルの位置付け及び日本の個人情報漏えい慰謝料との違いを整理する。
これは第一審の判断であり，Metaは控訴する方針を示している。

第２　４３８９万９７２５件の内訳

陪審は，次の５分野について，合計２６個の表示を不公正又は欺瞞的な取引行為と認定した。

分野認定された表示の数違反件数利用者によるデータ管理及び「データを売らない」との表示６件１０４５万９９４４件誤情報対策についての表示２件３４８万６６４８件ヘイトスピーチ対策についての表示５件７６４万６５９２件政治家・著名人等にも同じ基準を適用するとの表示３件４１５万９９４４件第三者アプリの調査及び利用者への通知についての表示１０件１８１４万６５９２件不公正又は欺瞞的な表示の合計２６件４３８９万９７２０件

陪審は，これとは別に，上記５分野の各１件について非良心的取引行為を認定した。
そのため，評決上の総数は４３８９万９７２５件である。

第３　違反件数はどのように計算されたか

判決によれば，Facebookのニューメキシコ州における令和２年６月３０日時点の月間利用者数は１３８万６６４８人であり，同州の人口は約２１０万人であった。

陪審は，各表示について，表示の方法及び想定された対象に応じて，１３８万６６４８人又は約２１０万人を違反件数として計上した。
例えば，令和２年のFacebook投稿について１３８万６６４８件，連邦議会で広く報道された発言等について約２１０万件という形である。

同じ利用者が複数の表示を見た可能性があり，同一人物が複数回計上されている。
また，実際に全員が各表示を閲覧したことを個別に立証した人数でもない。
したがって，４３８９万９７２５件を「漏えいした人数」又は「被害者数」と書き換えることはできない。

第４　陪審と裁判所が問題とした５分野
１　利用者によるデータ管理及び「データを売らない」との表示

陪審は，Facebookが，利用者は自己のデータを管理できる，個人データを販売しない，広告主に利用者を識別する情報を渡さないなどと説明した６個の表示を問題とした。

ここでは，「データを販売しない」という言葉と，利用者の行動等を自社内で分析し，広告主が特定の属性又は関心を持つ利用者へ広告を表示できるようにする仕組みとを区別する必要がある。
情報を商品として広告主へ引き渡すことと，プラットフォームが情報を保持したまま広告配信に利用することは，同じではない。

２　第三者アプリの調査及び利用者への通知

平成３０年３月以降，Metaは，大量のデータへアクセスしたアプリを調査し，疑わしいアプリについて監査を行い，データを不正利用した事業者を排除し，影響を受けた利用者へ通知すると公表した。

（続きを読む...）メタに約４兆円の制裁金―ケンブリッジ・アナリティカ事件と４３８９万件の「違反」の数え方（AI作成）