消費者・個人情報

目次

第１　SCS評価制度を契約実務で確認する理由第２　取得単位・適用範囲・有効期間を確かめる１　契約先と評価対象が一致するか２　除外対象と境界を図面で確認する３　取得時点だけでなく有効期間を管理する第３　「１４日以内」の二つの場面を区別する１　通常運用では更新プログラムのリリースが起算点となる２　★４の技術検証後は診断結果の受領日が起算点となる第４　委託契約で具体化する事項１　何の基準をどこまで求めるか２　脆弱性情報の受領から修正確認までを割り当てる３　期限に間に合わない場合の手続を決める４　費用，協力及び契約上の効果を分ける第５　診断を実施するときの合意と記録第６　契約条項を検討するためのたたき台第７　出典及び今後の確認事項
第１　SCS評価制度を契約実務で確認する理由

サプライチェーン強化に向けたセキュリティ対策評価制度（SCS評価制度）は，取引先との間でセキュリティ対策の水準を確認するための制度である。
IPAは，令和９年３月に★３・★４の申請受付を開始する予定として，令和８年１０月に要求事項・評価基準を更新し，評価に関するガイド及び解説書を公開した。
本記事は，令和８年１０月３０日時点の公表資料に基づき，発注者，受託者及び顧問弁護士が契約で確認する事項を整理する。

★の取得自体は任意であり，取引要件に採用するかは契約当事者が決める。
IPAのFAQも，取得を制度が義務付けるものではなく，要求事項を満たさないことだけを理由に直ちに取引停止を求める制度ではないと説明する。
したがって，「国の制度だから全取引先に取得義務がある」と説明することはできない。
以下の契約上の確認事項や条項例は，公式資料を踏まえた実務上の提案であり，IPAの指定書式又は全事業者に共通する法定条項ではない。

根拠：IPA「よくある質問」（SCS評価制度。以下「FAQ」という。）Q１－１～Q１－５。
公式FAQ

第２　取得単位・適用範囲・有効期間を確かめる
１　契約先と評価対象が一致するか

解説書は，法人又は個人事業主を原則的な取得単位とする一方，妥当性を確認した事業部や企業グループ等の単位も認めている。
適用範囲は取得単位に対応するIT基盤が基本であり，クラウドも含めて整理する。
事業者が便宜的に対象を狭めればよいものではなく，★３の確認責任者又は★４の評価機関による妥当性の確認が必要となる。

発注者は，契約相手の法人名だけでなく，実際に受託業務を行う部門，システム及び接続先が評価範囲に入るかを確認するとよい。
範囲外の再委託先やサービスがあれば，登録の表示だけで管理を終えず，別途の確認方法を決める必要がある。
この確認は，委託先の評価を全社・全サービスの安全性保証と受け取らないために行うものである。

２　除外対象と境界を図面で確認する

OTなどの除外には条件があり，接続関係や境界防護によっては適用範囲に含まれる。
また，業務に使う私物端末や在宅勤務用端末は，原則として適用範囲に含まれる。
通話・SMS・多要素認証だけに用いる個人機器等の除外もあるため，用途を区別する。
「工場設備だから」「私物だから」という呼び方だけで対象外と決めず，除外理由と接続関係を記録することが重要である。

３　取得時点だけでなく有効期間を管理する

登録の有効期間は，★３が１年，★４が３年とされている。
取引期間中に評価の維持を求めるなら，契約期間との対応，更新の確認時期，失効・取消し・適用範囲変更を知った場合の連絡方法を決めておくとよい。
★の取得によって，他の法制度の要件を満たすことまで保証されるものではない。

根拠：SCS－６２０「★３・★４ 要求事項・評価基準 解説書」（以下「解説書」という。）４頁・６頁・７頁～１１頁，FAQ Q１－５。
解説書（公式PDF）

（続きを読む...）SCS評価制度の契約実務―★３・★４の取得，脆弱性対応期限及び委託先管理（AI作成）

目次

第１　身代金の要求を受けた企業が最初に整理すること１　暗号化されていない場合の脅迫も対象になる２　支払わない方針と，対応をしないことは異なる第２　送金の検討に先立つ初動と証拠保全１　被害拡大を防ぎ，電源操作は慎重にする２　脅迫文と事実確認の資料を分けて残す３　バックアップからの復旧と暫定運用を比較する第３　支払いの前に確認する法令と相手方１　被害者からの送金にも規制の確認が必要である２　国内法の確認だけで取引全体を判断しない第４　取締役の責任と判断記録１　支払ったかどうかだけで責任は決まらない２　何を調べ，何を比較し，誰が決めたかを残す３　平時に受けた警告への対応も別に検証する第５　サイバー保険は費目と約款を確認する１　事故対応費用と身代金そのものを分ける２　相談・通知は支払い判断と並行して進める第６　身代金要求についてのよくある質問１　支払えば復旧や情報の削除は保証されるか２　支払わなければ取締役の責任を免れるか３　警察への相談と公表の判断は同じか第７　関連記事第８　出典
第１　身代金の要求を受けた企業が最初に整理すること

ランサムウェアの被害で金銭を要求されたときは，復旧の見込み，支払いの適法性，会社としての意思決定及び証拠保全を並行して検討する必要がある。
攻撃者が示した期限や「払えば解決する」という説明だけを基準に，現場の担当者が送金を約束することは避けたい。

本記事は，令和８年１０月２６日までに確認した法令と公的資料を基に，企業の初動と判断記録を整理する。
警察庁の案内，内閣官房国家サイバー統括室（NCO）の「サイバーセキュリティ関係法令Q&Aハンドブック」Ver.３.０の解説と，本記事の実務上の提案を区別して示す。

１　暗号化されていない場合の脅迫も対象になる

警察庁は，データの暗号化と復号の対価要求に加え，暗号化せずに情報を盗んで金銭を要求する手口も紹介している。
したがって，「業務システムが動いているから問題は小さい」と決めず，情報の持出しや公開の脅迫も調査の対象にする。

２　支払わない方針と，対応をしないことは異なる

警察庁は，支払いが犯罪グループの活動資金になり得ること，支払っても復号が保証されないことを説明している。
支払わない方針を採る場合にも，隔離，代替復旧，被害の調査，相談及び必要な報告・通知の検討は進める。

第２　送金の検討に先立つ初動と証拠保全
１　被害拡大を防ぎ，電源操作は慎重にする

警察庁の案内では，感染した機器をネットワークから隔離し，調査に必要なログ等が失われる場合があるため，電源を落とさないよう求めている。
自社の担当者だけで操作を続けず，警察や調査担当者に，隔離済みの範囲と機器の状態を伝えて次の作業を相談する。

２　脅迫文と事実確認の資料を分けて残す

実務上は，要求のメール・画面，受信日時，指定された支払先，連絡の履歴，確認できた障害・情報持出しの状況を時系列で整理するとよい。
攻撃者の主張と，自社又は調査会社が確認した事実を同じ欄に書かず，未確認事項を残しておく。

ログや機器の調査・複製は，権限のある担当者が方法と実施時刻を記録して行う。
脅迫の添付ファイルや提示された復号プログラムを，通常の業務端末で不用意に開かない。
警察庁が挙げる提供資料には，ランサムノート，通信ログ，ディスクイメージ，メモリダンプ及びシステム構成図がある。

３　バックアップからの復旧と暫定運用を比較する

法務と技術部門は，「どの時点のデータが残っているか」「その環境まで侵害されていないか」「復旧に何日かかるか」「手作業等で維持できる業務は何か」を共通の資料にまとめたい。
復旧費用と停止の影響を具体化し，身代金の額だけを比較する状態を避けるためである。

第３　支払いの前に確認する法令と相手方
１　被害者からの送金にも規制の確認が必要である

外国為替及び外国貿易法１６条は，一定の支払等について許可義務を課す仕組みを定めている。
財務省は，資産凍結等の経済制裁に関する支払規制では，制裁対象者への支払いに暗号資産によるものも含まれると説明している。

このため，「身代金だから支払ってよい」「暗号資産なら規制と無関係」と判断することはできない。

（続きを読む...）ランサムウェアの身代金を要求されたら―支払い判断，役員責任，保険と証拠保全（AI作成）

目次

第１　企業の防御と第三者の機器への介入を分ける第２　「逆探知」の仕組みを先に確かめる１　ログの記録と端末内の情報収集２　委託先に依頼する場合第３　追跡プログラムと不正指令電磁的記録１　無断実行という一点だけでは結論は出ない２　コインハイブ判決は追跡プログラムの適法判決ではない第４　不正アクセスと正当防衛・緊急避難１　他人の認証情報やアクセス制御の突破２　被害企業であることは包括的な免責ではない第５　政府のアクセス・無害化措置との関係第６　調査を依頼する前の確認事項第７　出典
第１　企業の防御と第三者の機器への介入を分ける

サイバー攻撃を受けた企業には，攻撃元を特定し，被害の拡大を止めたいという切実な必要がある。しかし，「能動的サイバー防御」という名称だけで，第三者の機器に侵入し，情報を取得し，プログラムやデータを消去できるようになるわけではない。

自社が管理するサーバーのログを調べること，自社の権限で接続を遮断すること，第三者の機器で追跡プログラムを動かすこと，他人の認証を突破して攻撃用サーバーを操作することは，行為の内容が異なる。適法性の検討も分ける必要がある。本記事は令和８年１０月２６日を基準に，民間企業の措置を検討する際の基本的な区別を整理し，同月２７日のGMOの懸賞金制度の公表を踏まえた説明を追記したものである。

第２　「逆探知」の仕組みを先に確かめる
１　ログの記録と端末内の情報収集

自社のサーバーに届いた通信の記録を，管理権限の範囲内で分析する場合と，相手の端末でプログラムを実行させ，端末内の情報を送信させる場合とでは，対象となる機器も処理も異なる。契約書や製品説明に「追跡」「検知」と書かれていても，その名称だけで同じ行為として扱うべきではない。

アンダーソン・毛利・友常法律事務所外国法共同事業の令和７年９月の解説は，持ち出された文書を開くとプログラムが作動し，端末情報等を取得する仕組みを示して論じている。これは解説上の設計例であり，特定製品の実装や合法性が実証されたという資料ではない。

２　委託先に依頼する場合

調査会社やセキュリティ会社に依頼しても，自社が持っていない第三者の機器の管理権限が，委託契約だけで生じるわけではない。実務上は，実行場所，取得項目，送信先，認証情報の使用，処理の継続時間，停止方法及び第三者の機器に及ぶ影響を，実行前に説明できるようにすることが有用である。これは，行為を具体化するための本記事の提案である。

第３　追跡プログラムと不正指令電磁的記録
１　無断実行という一点だけでは結論は出ない

刑法１６８条の２は，正当な理由がないのに，他人の電子計算機で実行させる目的で，不正な指令を与える電磁的記録等を作成・提供する行為などを定めている。取得・保管には同法１６８条の３の検討も必要になる。

最高裁第一小法廷令和４年１月２０日判決（令和２年（あ）第４５７号，コインハイブ事件）は，利用者の意図に反することと，刑法上の不正性とを区別した。判決は，機能，影響，利用方法などを踏まえ，社会的に許容し得るかという観点から不正性を判断している。

同事件では，閲覧中の端末の計算資源を使うプログラムについて，意図に反する点は認めながら，端末の機能や情報処理への影響などの事情から不正性を否定した。利用者の明示の同意がないプログラムが全て犯罪になる，という判決ではない。

２　コインハイブ判決は追跡プログラムの適法判決ではない

最高裁が判断したのは，当該マイニングプログラムとその利用状況である。端末内の情報を収集・送信する追跡プログラムを，そのまま適法とした判決ではない。

追跡の目的が被害防止であっても，取得する情報の範囲，継続性，端末への影響や利用者に認識できる仕組みなどを検討する必要がある。前記法律事務所の解説が追跡プログラムへの当てはめを示している部分は，最高裁の判断枠組みを使った解説者の分析として読むべきである。

第４　不正アクセスと正当防衛・緊急避難
１　他人の認証情報やアクセス制御の突破

不正アクセス禁止法３条は不正アクセス行為を禁止し，同法２条４項はその類型を定める。他人の識別符号を使う場合や，アクセス制御による制限を免れる情報・指令を入力する場合などについて，通信回線，アクセス制御機能，承諾及び利用可能になる状態を確認する必要がある。

したがって，「攻撃者が使ったサーバーだから操作してよい」とはならない。他方，端末が一定情報を自動送信する仕組みについて，その名称だけで直ちに同法の不正アクセスに当たるともいえない。具体的な接続と制御の仕組みに即した検討が必要である。

２　被害企業であることは包括的な免責ではない

刑法３６条の正当防衛には急迫不正の侵害と防衛のためやむを得ずした行為という要件があり，同法３７条の緊急避難にも現在の危難，やむを得なさ，生じた害と避けようとした害の比較などの要件がある。

攻撃の継続，対象機器の管理者，危険の切迫性，代替手段及び措置の影響を確かめず，「攻撃された企業なら逆侵入できる」と一般化することはできない。これらの規定が個別事案で成立するかは，事実関係に即した判断を要する。

第５　政府のアクセス・無害化措置との関係

令和７年法律第４３号による警察官職務執行法６条の２等は，警察等の措置について主体，要件及び手続を定めている。これらの規定から，民間企業や委託先に第三者のサーバーを操作する一般的な権限が与えられるとは読めない。

令和８年９月の政府の施行説明は，官民連携とアクセス・無害化措置を同年１０月１日から，通信情報の利用を翌年秋からの施行と整理している。制度全体が一度に施行されたという説明は適切でない。政府の制度と個々の企業の防御を分けて検討する必要がある。

企業による要請と政府の判断の違いは，能動的サイバー防御は企業の要請で発動するのかを参照されたい。

国家情報会議・国家情報局と，対外情報庁構想の位置付けについては，成立した法律と今後の検討を整理した記事を参照されたい。

（続きを読む...）企業はサイバー攻撃を逆探知・ハックバックできるか―追跡プログラム，不正アクセスとコインハイブ判決（AI作成）

目次

第１　WaterPlumはどのように採用活動を装うのか第２　コードを実行する前の確認１　相手の身元と，求められている操作を分けて確認する２　普段の作業環境をそのまま使わない第３　VS Codeの「信頼する」に注意する第４　実行してしまった・感染が疑われる場合１　通信の遮断と，安全な端末での対応２　初期化の前に調査・証拠保全も考える第５　勤務先・発注元へ伝える事項第６　資料と関連記事

転職や業務受注のために届いたコーディング課題でも，送信者が本物の採用担当者とは限らない。
面接ツールの不具合を直すよう求められた場面でも，指示されたプログラムを実行する前の確認が必要である。
警察庁等は，令和８年９月１８日，IT技術者を標的とするWaterPlumの攻撃について共同注意喚起を公表した。
この記事は求職者・フリーランス側の対策を扱う。
企業が偽装ITワーカーを採用・委託する問題は，北朝鮮IT労働者への業務委託を防ぐための確認事項で扱う。

第１　WaterPlumはどのように採用活動を装うのか

共同注意喚起によれば，WaterPlumは，正規のAI企業，暗号資産関連企業，人材紹介サービス等になりすまし，SNS，求人サイト，フリーランス向けのサービス等でIT技術者へ接触する。
技術面接やコーディング課題に参加させ，不正なプログラムをダウンロード・実行させる手口である（同２～３頁）。
課題の実施を求めるだけでなく，オンライン会議の不具合を診断・修正するという名目でファイルを使わせることも説明されている。
悪意あるNPMパッケージや開発用リポジトリも攻撃の入口となる。
共同開発サービスに置かれているという理由だけで，その課題の安全性が確認されたことにはならない。
窃取の対象として，ブラウザ内の認証情報，暗号資産ウォレットの秘密鍵・シードフレーズ，身分証画像，PCや共有フォルダのファイル等が挙げられている。
また，窃取した認証情報を使い，勤務先のネットワークへ侵入する手口も説明されている（同３～４頁）。
個人の求職活動をきっかけに，勤務先や発注元へ影響が広がり得る点に注意が必要である。

第２　コードを実行する前の確認
１　相手の身元と，求められている操作を分けて確認する

警察庁等は，業務用PCや暗号資産・個人情報を扱うPCで，むやみに第三者の関与したコードを実行しないよう求め，仮想マシン等のサンドボックスでの実行や，コードに難読化された部分・動作を理解できない部分がないかの確認を挙げている（共同注意喚起４頁）。
求職者側では，会社名の実在だけで終わらせず，公式サイト等から独立して確認した連絡先を使い，その担当者と課題の実在を確かめる方法が考えられる。
これは本記事の確認手順の提案である。
相手から届いたリンクだけを確認経路にすると，なりすまし側が用意した場所を再び見ている可能性が残る。
「すぐに面接を再開したい」「提出期限に間に合わせたい」と思う場面でも，理解できない修復コマンドや追加ツールを，案内されたまま実行しないことが大切である。

２　普段の作業環境をそのまま使わない

サンドボックスを使う場合でも，「仮想マシンなら何を実行しても安全」と考えるべきではない。
共同注意喚起の推奨は，任意の設定で安全を保証する記載ではない。
実務上は，会社の認証情報，秘密鍵，顧客資料等を持ち込まない検証環境を用意できるかを，勤務先等の担当者に確認することが考えられる。
個人の判断で業務用PCに検証環境を追加したり，会社のルールを外して課題を実行したりすることは避けたい。

第３　VS Codeの「信頼する」に注意する

共同注意喚起は，他人から渡されたVS Codeのプロジェクトを開く際の注意を具体的に説明している。
関与していないプロジェクトを開くよう求められた場合は制限モードを利用し，作成者を信頼するかという警告には「いいえ」を選ぶことなどを勧めている（同４～５頁）。

（続きを読む...）採用課題を装うWaterPlumの攻撃とは―IT技術者がコード実行前と感染後に確認すること（AI作成）

目次

第１　警察庁の注意喚起が対象とする二つの入口第２　ラップトップ・ファームと国内で把握された事例１　国内の名義・端末を経由する手口２　公表された被害と，読み分けるべき事実第３　採用・委託の前に確認する事項第４　契約とアクセス権限に落とし込む１　再委託のルールを実際に確認できる形にする２　正規のアカウントにも権限の上限を設ける第５　疑いが生じたときの初動第６　制裁・法的責任を判断するときの注意第７　資料と関連記事

採用した人や業務を委託した相手が，申告された人物とは違う。
正規のアカウントを渡した後に，ソースコードや顧客情報へのアクセスを悪用される。
このような問題は，外部からの不正侵入対策だけでは捉えにくい。
警察庁等は，令和８年９月１８日の共同注意喚起で，北朝鮮IT労働者による日本国内での外貨獲得活動，国内支援者の自宅に遠隔操作用PCを置く手口及び企業への採用応募の実例を公表した。
本記事では，その公表内容と，それを踏まえた企業側の確認事項を分けて整理する。

第１　警察庁の注意喚起が対象とする二つの入口

共同注意喚起は，①採用担当者を装って求職者に不正なプログラムを実行させる攻撃と，②身元や作業場所を偽って企業からIT業務を受注する活動を扱っている。
この記事は②を対象とする。
①の求職者側の対処は，偽の採用課題によるWaterPlumの攻撃で扱う。
警察庁とFBIは，WaterPlumと一部の北朝鮮IT労働者が北朝鮮の３１３総局の指揮下で運用されていると評価している。
「一部」という範囲を外し，全ての関係者が同一の組織又は同一の手口で活動すると読むことはできない。
これは捜査機関の評価を紹介するものであり，裁判所の認定を紹介するものではない。

第２　ラップトップ・ファームと国内で把握された事例
１　国内の名義・端末を経由する手口

警察庁等によれば，国内支援者から提供された身分証明書の画像を悪用した受注，支援者が受注した業務の請負，支援者の銀行口座を使った報酬受領が確認されている。
支援者宅に遠隔操作用PCを設置するラップトップ・ファームや，支援者が借りたVPSを利用して，居場所・作業場所を偽装する手口も説明されている（共同注意喚起５～６頁）。
したがって，国内の振込先や国内からの接続があることだけを，実際の作業者が申告どおりである証明にするのは十分ではない。
契約名義，実際の作業者，端末の管理者及び再委託関係をつなげて確認することが，企業側の点検課題になる。

２　公表された被害と，読み分けるべき事実

共同注意喚起６頁は，北朝鮮IT労働者と知らずに開発業務を一部外注した企業で，報酬の支払をめぐるトラブルの際に，担当プログラムのソースコードがインターネットへ公開された事例を紹介している。
また，北朝鮮IT労働者が作成に関わったWebサイトが，後に改ざんされ正常に表示されなくなった事例も紹介する。
ただし，この記載だけから，その改ざんの実行者や原因まで確定したとはいえない。
一方，bitFlyerへの応募事例は，同社が不審点に気づいて対応し，採用にも被害にも至らなかった事例である。
「国内暗号資産取引所に侵入した事例」と読み替えないことが必要である（同７頁）。

第３　採用・委託の前に確認する事項

共同注意喚起は，連絡先の確認，経歴に記載されたスキルについての具体的な質問，資格の確認等を勧めている。
企業では，これを一度の面接だけで終わらせず，次の事項を照合する運用が考えられる。
以下は本記事の実務上の整理であり，法令が一律に義務付けたチェック項目という意味ではない。

確認する関係確認事項の例契約名義と実作業者誰が作業し，変更時に誰へ知らせるのか。法人への発注でも担当者と再委託先を把握できるか経歴と技能書面の記載について，担当した作業や判断過程を具体的に説明できるか作業場所と端末申告された作業環境と実態が整合するか。第三者による遠隔操作を許していないか報酬と取引主体契約名義と異なる第三者口座への変更等について，合理的な説明と確認資料があるか提出資料の取扱い確認目的に必要な範囲の資料を求め，閲覧者と保管方法を決めているか

（続きを読む...）北朝鮮IT労働者への業務委託を防ぐには―なりすまし，ラップトップ・ファームと企業の対策（AI作成）

目次

第１　本記事の概要第２　問題の所在１　承認したサービスと禁止したサービス２　検討の順序第３　漏えい等報告の仕組み１　個人情報保護法２６条と施行規則７条２　「おそれ」の判断３　報告の期限と「知った」時点第４　生成AIへの入力は提供か委託か１　委託に伴う提供２　クラウド例外３　個人情報保護委員会の注意喚起第５　禁止された生成AIへの入力は漏えいに当たるか１　漏えいの定義と「自らの意図」２　承認の有無で評価が分かれる理由３　学習に利用しない設定の意味４　報告が必要になるのは報告対象の事態に当たる場合第６　協会けんぽの公表事例１　公表の内容２　この事例から読み取れること第７　実務上の対応１　平時の備え２　禁止された入力が判明したとき第８　出典
第１　本記事の概要

本記事は，社内で業務利用を禁止している生成AIサービスに従業者が個人データを入力した場合に，個人情報保護委員会への漏えい等報告（個人情報保護法２６条）が必要になるかを整理するものである。
基準日は令和８年１０月２５日であり，個人情報保護委員会の「個人情報の保護に関する法律についてのガイドライン（通則編）」（令和８年６月一部改正）と，「「個人情報の保護に関する法律についてのガイドライン」に関するＱ＆Ａ」を参照した。

結論を先に述べると，生成AIサービスへの入力が直ちに漏えいになるわけではない。
しかし，事業者が自らの意図に基づいて提供したといえない入力は，個人データの漏えい又はそのおそれと評価される余地があり，施行規則７条の４つの事態のいずれかに当たれば報告が必要になると考えられる。
ただし，個人情報保護委員会が，社内で禁止された生成AIへの入力について報告の要否を直接示した資料は，基準日現在，確認できない。

学習に利用しない設定の生成AIに秘密情報を入力することの評価は学習オフの生成AIに秘密情報を入力することは第三者開示に当たるかで，社内の禁止ルールと懲戒はシャドーAIの問題点――営業秘密，個人情報保護法及び懲戒処分をめぐる法的枠組みで説明している。

第２　問題の所在
１　承認したサービスと禁止したサービス

同じ生成AIサービスでも，会社が契約して業務利用を認めている場合と，社内規程で利用を禁止している場合とがある。
社内規程による禁止の対象には，従業者が個人で契約したアカウントを業務に使う場合や，正式な審査の前に試験的な利用を始める場合も含まれ得る。
サービスの仕様や入力データの扱いが同じであっても，会社が承認しているかどうかで個人情報保護法上の評価が変わるのかが，本記事の問いである。

２　検討の順序

この問いは，次の順に検討すると整理しやすい。
①生成AIサービスへの入力が，第三者提供，委託に伴う提供又はクラウド例外のどれに当たるか
②社内で禁止された入力が，個人データの漏えい又はそのおそれに当たるか
③当たるとして，施行規則７条の報告対象の事態に当たるか

第３　漏えい等報告の仕組み
１　個人情報保護法２６条と施行規則７条

個人情報保護法２６条１項本文は，「個人情報取扱事業者は、その取り扱う個人データの漏えい、滅失、毀損その他の個人データの安全の確保に係る事態であって個人の権利利益を害するおそれが大きいものとして個人情報保護委員会規則で定めるものが生じたときは、個人情報保護委員会規則で定めるところにより、当該事態が生じた旨を個人情報保護委員会に報告しなければならない。」と定める。
同条２項は，この場合に本人への通知も求めている。

報告の対象となる事態は，個人情報の保護に関する法律施行規則７条が定める次の４つである。
①要配慮個人情報が含まれる個人データ（高度な暗号化等の措置を講じたものを除く。）の漏えい等が発生し，又は発生したおそれがある事態（１号）
②不正に利用されることにより財産的被害が生じるおそれがある個人データの漏えい等が発生し，又は発生したおそれがある事態（２号）
③不正の目的をもって行われたおそれがある当該個人情報取扱事業者に対する行為による個人データの漏えい等が発生し，又は発生したおそれがある事態（３号）
④個人データに係る本人の数が千人を超える漏えい等が発生し，又は発生したおそれがある事態（４号）

２　「おそれ」の判断

ガイドライン（通則編）3-5-3-1の（※2）は，「報告対象事態における「おそれ」については、その時点で判明している事実関係に基づいて個別の事案ごとに蓋然性を考慮して判断することになる。」とする。
その上で，漏えい等が発生したおそれについては，「その時点で判明している事実関係からして、漏えい等が疑われるものの漏えい等が生じた確証がない場合がこれに該当する。」としている。

（続きを読む...）社内で禁止した生成AIに個人データを入力したら漏えい等報告は必要か―ガイドラインの「自らの意図」，クラウド例外，委託及び協会けんぽの公表事例（AI作成）

目次

第１　本記事の対象と結論１　対象２　結論３　基準日と資料第２　Studio事案で公表されていること１　不正アクセスと流出のおそれがある情報２　サイト運営者とStudio社の関係３　本人通知についての同社の案内第３　本人通知が必要になる場面１　報告対象事態と本人通知２　フォームの回答は個人データか３　委託先やクラウド事業者が関わる場合第４　送り主の目的や内容で通知の対象外にできるか１　営業メールやスパムの送り主２　法人の担当者が送信した場合第５　危険な相手への通知と「本人への通知が困難な場合」１　条文とガイドラインの例２　他の規定との比較３　身の危険を「困難」と整理する見解４　先に検討すべき通知の時期と方法５　「困難」と整理するときの記録第６　代替措置としての公表１　代替措置の例２　どこに何を公表するか第７　委託元が行政機関等である場合第８　令和８年改正法の施行後第９　関連記事第１０　出典１　法令２　個人情報保護委員会の資料３　事業者の公表資料等
第１　本記事の対象と結論
１　対象

令和８年１０月，Webサイト作成サービス「Studio」の運営会社（以下「Studio社」という。）は，同社が利用するクラウド環境への不正アクセスにより，同サービスで作られたサイトのフォームに送信された内容が外部に流出した可能性があると公表した。
フォームで問い合わせ，予約，採用応募等を受け付けていた事業者は，送信者への本人通知を検討することになるが，送信者の中には，殺害予告を送ってきた者や，営業メールを繰り返し送ってきた者も含まれ得る。
本記事は，このような送り主にも個人情報保護法２６条２項の本人通知が必要か，通知することが危険なときにどう扱うかを，条文，個人情報保護委員会の通則編ガイドライン及びQ&A並びにStudio社の公表資料に沿って整理する。
特定の事業者に通知義務があるかどうかを判断するものではない。

２　結論

① 送信の目的や内容が営業やスパムであることだけを理由に，本人通知の対象外とすることはできない。
氏名やメールアドレス等によって特定の個人を識別できる回答であれば，原則として通知の対象になる。
② 法２６条２項ただし書の「本人への通知が困難な場合」について，通則編ガイドラインが挙げる例は，連絡先が含まれていない場合と，連絡先が古いために連絡できない場合である。
通則編ガイドライン及びQ&Aで「通知が困難」に触れる箇所には，通知すると事業者側に危害が及ぶおそれがある場合を「困難」に当たるとした記載は見当たらない。
③ 危険な相手への通知は，まず通知の時期と方法で調整する。
施行規則１０条は「当該事態の状況に応じて速やかに」通知するとしており，警察への相談，通知の名義，通知事項の範囲を検討したうえで通知する方法がある。
④ それでも直接の通知が危険な場合に，「困難」と整理して公表等の代替措置で対応する考え方もあるが，明文の裏付けがないので，危険の根拠と判断の経過を記録しておく必要がある。
⑤ 委託元が国の行政機関や地方公共団体の機関である場合は，法６８条２項が適用され，民間事業者とは例外の定め方が異なる。
⑥ 令和８年改正法の施行後も，「本人への通知が困難な場合」の枠組みは維持され，これに加えて，本人の権利利益の保護に欠けるおそれが少ない場合として委員会規則で定める場合にも代替措置によることができるようになる。

３　基準日と資料

本記事は，令和８年１０月２５日時点で，e-Gov法令検索で取得した個人情報保護法及び同法施行規則の現行条文，個人情報保護委員会の通則編ガイドライン（令和８年６月一部改正）及びQ&A（令和７年７月１日更新）に基づく。
Studio社の対応は，同社の「Studioにおける不正アクセスに関するご案内」の令和８年１０月２０日１２時３０分の更新までの記載による。
同社の調査は続いており，今後の続報によって事実関係が変わる可能性がある。

第２　Studio事案で公表されていること
１　不正アクセスと流出のおそれがある情報

Studio社の案内によれば，令和８年９月３０日から１０月１日にかけて，第三者が同サービスの一部機能の脆弱性を悪用して不正にアクセスし，環境内のデータを外部から取得できる状態にしており，この状態は同月１４日に同社が対処するまで続いた。
同社は，実際に第三者に取得された事実は確認できていないが，取得されたものとみなして対応を進めているとしている。

流出した可能性がある情報には，同サービスの利用者のアカウント情報のほか，各サイトのフォームに送信された内容が含まれる。
暗号化して保存していたものについても，復号に必要な鍵が同じ不正アクセスで読み出されたため，内容を知られた可能性があるとされている。
フォームに添付されたファイルは，ファイル名だけが対象とされている。

２　サイト運営者とStudio社の関係

同社は，フォームの送信内容について，「弊社は、運営者からの委託を受けて、送信内容の保管などを行っています。」と説明している。

（続きを読む...）漏えい等の本人通知は殺害予告や営業メールの送り主にも必要か―個人情報保護法２６条２項ただし書の「通知が困難な場合」とStudio事案（AI作成）

目次

第１　本記事の対象と結論の要旨１　本記事が扱う事案２　結論の要旨第２　公表された事実関係１　第１報から第３報まで２　第４報（令和８年１０月１６日）３　二次被害と不審な連絡第３　後払い決済の仕組み１　立替払契約と保証２　割賦販売法の対象にならない理由第４　個人情報保護法上の報告と本人への通知１　報告義務を負う者２　加盟店に報告義務はあるか３　本人への通知と「代わるべき措置」第５　利用者が確認すること１　不審な連絡への対応２　商品明細が含まれることの意味３　損害賠償の見通し第６　加盟店（通販事業者）が確認すること１　自社の顧客への説明２　契約と決済手段の見直し第７　関連記事第８　出典１　公表資料２　法令・ガイドライン等３　裁判例
第１　本記事の対象と結論の要旨
１　本記事が扱う事案

本記事は，ヤマト運輸株式会社が，「クロネコ代金後払いサービス」への第三者による不正アクセスを令和８年９月２８日に確認し，利用者の情報等が持ち出された事案について，公表された事実を整理した上で，利用者と加盟店（後払い決済を導入している通販事業者）が確認すべき事項と，後払い決済の法的な仕組みを説明するものである。
事実関係は，ヤマトホールディングスの公式サイトに掲載された第１報から第４報までに基づく。
本記事の記載は，令和８年１０月２５日時点で確認できた公表資料と法令に基づく。

２　結論の要旨

①令和８年１０月１６日の第４報によれば，持ち出しが判明したのは，利用者の情報約５２６万件，お届け先の情報約５万件及び加盟店の情報約４１００件であり，利用者の情報には氏名，住所，電話番号，メールアドレスのほか，商品明細（商品名，数量，単価等）が含まれる。
②クレジットカード情報とパスワード情報は含まれておらず，第２報で漏えいの可能性があるとされた請求金額，債権残高及び同社社員の氏名は，持ち出しが確認されなかったとされている。
③個別の連絡が難しい利用者については，第４報の公表をもって通知に代えるとされており，これは個人情報保護法２６条２項ただし書の「代わるべき措置」として事案を公表する方法に当たると考えられる。
④同サービスの規約上，同社は購入者との間で立替払契約を結び，加盟店から購入者の個人情報と購入情報の提供を受けるとされている。
この仕組みを前提にすると，持ち出された利用者の情報は同社が自らの事業のために取り扱っていた個人データであり，個人情報保護委員会への報告と本人への通知は，加盟店ではなく同社の義務になると考えられる。
⑤割賦販売法の個別信用購入あっせんからは，契約の締結から２か月を超えない範囲内で定められた時期までに受領するものが除かれており，商品を受け取った後に届く払込票で１４日以内に一括して支払う同サービスの立替払いは，通常この除外に当たると考えられる。
⑥利用者が損害賠償を求める場合の慰謝料の水準は，漏えいした情報の内容，流出の範囲，実害の有無及び事業者の事後の対応によって決まり，商品明細という購入の内容が含まれる点がどう評価されるかは，個別の事情による。

第２　公表された事実関係
１　第１報から第３報まで

第１報（令和８年９月２９日）によれば，同社は，９月２８日に「クロネコ代金後払いサービス」が第三者による不正アクセスを受けたことを確認し，外部からのアクセス制限等の対策を講じるとともに，同日２２時２８分に同サービスを停止した。
宅急便を含む他のサービスは，通常どおり利用できるとされた。

第２報（同年１０月２日）は，漏えいした可能性がある主な情報として，利用者の氏名，住所，電話番号，メールアドレス，与信番号，請求金額，債権残高及び商品明細，加盟店の加盟店名及び加盟店コード並びに同サービスを担当する同社社員の氏名を挙げた。
同時に，クレジットカード情報やパスワード情報などは含まれていないとした。

第３報（同月９日）は，同日１３時に同サービスを再開したことを公表した。
サービス停止期間を考慮し，９月２８日以降に支払期限を迎える払込票については期限が延長され，例えば支払期限日が１０月１日の払込票は，同月１８日が変更後の期限とされた。

２　第４報（令和８年１０月１６日）

第４報は，セキュリティ専門機関の協力を得て調査した結果，同サービスに関わる一部の情報が不正に持ち出されたことが判明したとして，次のとおり公表した。

区分情報項目対象期間件数利用者の情報氏名，住所，電話番号，メールアドレス，商品明細（商品名，数量，単価など），社内管理用情報（申込番号，受注日，与信番号など）平成３０年１０月１日から令和８年９月２８日まで約５２６万件（メールアドレスを含むものは約４９万件）お届け先の情報お届け先の氏名，住所，電話番号，送り状番号令和３年２月５日から令和８年９月２８日まで約５万件加盟店の情報加盟店名，社内管理用情報（加盟店コード）平成３０年１０月１日から令和８年９月２８日まで約４１００件

同報は，クレジットカード情報とパスワード情報は含まれていないこと，第２報で挙げた請求金額，債権残高及び同社社員の氏名は調査の結果持ち出しが確認されなかったこと，個人向けの「クロネコメンバーズ」等の他のサービスからの持ち出しは確認されていないことも明らかにしている。

３　二次被害と不審な連絡

第４報の時点で，同社は，持ち出された情報が不正利用されたことによる二次被害は確認されていないとしている。
他方で，心当たりのない不審なメール・ＳＭＳが届いた，不審な電話がかかってきたといった問合せがあるとして，メール内のアドレスへのアクセスや添付ファイルの開封をせず，不審な電話や郵便物にも慎重に対応するよう呼び掛けている。

第３　後払い決済の仕組み

（続きを読む...）クロネコ代金後払いの情報漏えい（約５２６万件）―持ち出された項目，利用者・加盟店の対応と後払い決済の仕組み（AI作成）

目次

第１　本記事の対象と結論の要旨１　本記事が扱う場面２　結論の要旨第２　「集団訴訟」と呼ばれる手続の種類１　多数の原告による共同訴訟２　選定当事者３　特定適格消費者団体による共通義務確認訴訟第３　消費者裁判手続特例法と慰謝料１　対象となる請求２　慰謝料が対象外とされてきた理由３　慰謝料が対象となる二つの場合４　個人情報漏えいが議論された経緯５　過失による漏えいの慰謝料だけを求める場合６　財産的請求と併せる場合第４　共同訴訟で請求するときの留意点１　原告ごとの主張と証明２　訴訟の目的の価額３　認容額の水準４　消滅時効５　登録，委任契約及び提訴の区別６　参加者の住所・氏名と記録の閲覧７　住所・氏名の変更と連絡・分配の管理第５　関連記事第６　出典１　法令２　公表資料３　裁判例
第１　本記事の対象と結論の要旨
１　本記事が扱う場面

大規模な個人情報の漏えいが公表されると，被害者が集まって損害賠償を求める「集団訴訟」が話題になることがある。
本記事は，個人情報の漏えいについて多数の被害者が損害賠償を求める場合に，日本の法制度上どのような手続があり，消費者裁判手続特例法（消費者の財産的被害等の集団的な回復のための民事の裁判手続の特例に関する法律）の手続がどこまで使えるかを説明するものである。
本記事の記載は，令和８年１０月２５日時点で確認できた法令と公表資料に基づく。

２　結論の要旨

①被害者がそれぞれ原告となって同じ事業者を訴える共同訴訟（民事訴訟法３８条）では，確定判決の効力は当事者となった被害者に及び，訴訟に加わらなかった被害者には及ばない。
②消費者裁判手続特例法には，内閣総理大臣の認定を受けた特定適格消費者団体が原告となる共通義務確認訴訟の制度があるが，精神上の苦痛を受けたことによる損害（慰謝料）は，原則として対象から除かれている（同法３条２項６号）。
③慰謝料が除かれてきたのは，第２段階の手続で個々の債権を適切かつ迅速に判断できること（支配性）と，事業者が被害額の見通しを把握できること（係争利益の把握可能性）を確保するために，対象を類型化したためである。
④令和４年法律第５９号による改正で，慰謝料も，算定の基礎となる主要な事実関係が相当多数の消費者に共通することを前提に，財産的請求と併せて請求する場合か，事業者の故意によって生じた場合に限り，対象となった。
⑤改正に先立つ消費者庁の検討会報告書は，過失による個人情報漏えいの慰謝料を対象外とすべきとの指摘と，個人情報漏えい事案かどうかで対象を決めることは妥当でないとする個人情報保護委員会の指摘の双方を記録している。
⑥その結果，事業者の過失による漏えいについて慰謝料だけを求める場合は，同法の手続を使うことができず，被害者は，自ら原告となるか，選定当事者を選定するなどして，民事訴訟法の手続で請求することになる。

第２　「集団訴訟」と呼ばれる手続の種類
１　多数の原告による共同訴訟

民事訴訟法３８条は，訴訟の目的である権利又は義務が数人について共通であるとき，同一の事実上及び法律上の原因に基づくとき，又は同種であって事実上及び法律上同種の原因に基づくときは，その数人は共同訴訟人として訴えることができると定める。
同じ漏えい事故で個人情報が流出した被害者が，一つの訴えで同じ事業者に損害賠償を求めるのは，この共同訴訟に当たる。
共同訴訟でも，請求権は原告ごとに別であり，どの情報が流出したか，二次被害があったか，損害がいくらかは，原告ごとに主張し，証明する必要がある。
確定判決は当事者に対して効力を有するものであり（民事訴訟法１１５条１項１号），訴訟に加わらなかった被害者には及ばない。

２　選定当事者

民事訴訟法３０条１項は，共同の利益を有する多数の者は，その中から，全員のために原告となるべき一人又は数人を選定することができると定める。
選定された者（選定当事者）が全員のために訴訟を追行するので，多数の被害者が全員で訴訟手続に関わる負担を減らすことができる。
選定当事者が受けた確定判決の効力は，選定をした者にも及ぶ（民事訴訟法１１５条１項２号）。
もっとも，選定当事者になるのは共同の利益を有する者の中の者であり，被害者でない団体が代わりに原告となる制度ではない。

３　特定適格消費者団体による共通義務確認訴訟

消費者裁判手続特例法は，特定適格消費者団体が原告となり，相当多数の消費者に共通する原因に基づいて事業者が金銭を支払う義務を負うことの確認を求める共通義務確認訴訟（第１段階）と，その後に個々の消費者の債権の存否及び内容を確定する簡易確定手続（第２段階，同法２条７号）の２段階で，消費者の被害を回復する制度を定めている。
特定適格消費者団体は，被害回復裁判手続を追行するのに必要な適格性を有する法人である適格消費者団体として，内閣総理大臣の認定を受けた者である（同法２条１０号）。
個々の消費者は，第１段階の訴訟の当事者にならない。
第２段階では，簡易確定手続を申し立てた特定適格消費者団体が，対象となる消費者から授権を受けて，その債権を届け出る（同法３３条１項・３４条１項）。
制度の流れと最高裁判例は，消費者被害の集団的回復手続―共通義務確認訴訟と最高裁令和６年３月１２日判決（AI作成）で整理している。

（続きを読む...）個人情報漏えいで集団訴訟はできるか―消費者裁判手続特例法が慰謝料を原則として対象外とする理由と共同訴訟（AI作成）

目次

第１　記事の対象と結論第２　改正の経緯と施行日１　成立と公布２　罰則の見直しは令和９年１月１７日に施行される３　課徴金を含む主要部分の施行日第３　課徴金制度の骨格１　導入の目的２　対象となる行為３　課される要件４　要件を満たせば納付を命じなければならない第４　課徴金の額１　対価額２　資料が提出されない場合の推計３　１０年以内に繰り返した場合の加算４　自主的な報告による減額５　合併等の場合６　７年の期間制限第５　課徴金納付命令の手続１　弁明の機会２　命令の方式と納期限３　督促・延滞金・強制執行第６　政令・規則の検討状況１　対象外とする「権利利益を害する程度が大きくない場合」２　算定方法・推計方法・自主報告の方法３　今後の日程第７　令和９年１月１７日に施行される罰則の見直し１　改正前後の比較２　個人情報データベース等の不正提供等罪３　不正な手段による個人情報の取得を処罰する規定の新設４　命令違反の罰則と経過期間の読替え５　国外犯第８　事業者が今から確認しておくこと第９　関連記事第１０　出典
第１　記事の対象と結論

本記事は，令和８年法律第５６号「個人情報の保護に関する法律等の一部を改正する法律」による個人情報保護法の改正のうち，課徴金制度の新設と罰則の見直しを扱う。
基準日は令和８年１０月２５日であり，条文はe-Gov法令検索に収録された改正後の条文と，個人情報保護委員会が掲載する改正法の本文で確認した。

結論は次のとおりである。
①罰則の見直しは，附則第１条第３号により，公布の日から起算して六月を経過した日である令和９年１月１７日に施行される。
②課徴金制度は改正法の主要部分とともに，公布の日から起算して二年を超えない範囲内で政令で定める日に施行され，本記事の基準日現在，その日は定まっていない。
③課徴金の対象は，違法な行為又は不当な差別的取扱いが想定される第三者への個人情報の提供等，第三者提供の制限に違反する個人データの提供，統計作成等の特例に違反する取扱い及び不正に取得した個人情報の利用に限られ，本人の数が千人を超えないとき等は課されない。
④課徴金の額は，違反行為又は違反行為をやめることの対価として得た金銭等に相当する額であり，算定方法や対象外とする場合の細目は，政令及び個人情報保護委員会規則の検討段階にある。

第２　改正の経緯と施行日
１　成立と公布

改正法の法律案は令和８年４月７日に国会へ提出され，同年７月１０日に成立し，同月１７日に公布された。
個人情報保護委員会の改正法の特設ページも，この経緯を掲げた上で，政令・規則・ガイドライン等の検討を進めているとしている。

２　罰則の見直しは令和９年１月１７日に施行される

改正法附則第１条本文は，改正法を「公布の日から起算して二年を超えない範囲内において政令で定める日から施行する」と定める。
もっとも，同条第３号は，罰則の改正規定等について，「公布の日から起算して六月を経過した日」から施行すると定めている。
公布の日が令和８年７月１７日であるから，罰則の見直しは令和９年１月１７日に施行され，課徴金を含む主要部分よりも先に適用が始まる。

３　課徴金を含む主要部分の施行日

課徴金制度を定める改正後の第１４８条の３から第１４８条の１７までは，附則第１条本文の政令で定める日から施行される。
e-Gov法令検索の改正履歴でも，主要部分の施行日は「公布の日から起算して二年を超えない範囲内において政令で定める日」と表示されており，本記事の基準日現在，施行日を定める政令は確認できない。

第３　課徴金制度の骨格
１　導入の目的

個人情報保護委員会事務局の「個人情報保護法等の一部を改正する法律について」は，現行法では，違反事業者が勧告・命令等を受けた後に違反行為を中止すれば，違反行為から得た経済的利得をそのまま保持することが可能であると説明している。
そのうえで，経済的誘因のある，大量の個人情報の取扱いによる悪質な違反行為を実効的に抑止するため，重大な違反行為により個人の権利利益が侵害された場合等について，違反行為によって得られた財産的利益等に相当する額の課徴金の納付を命ずることとしたと説明している。

２　対象となる行為

改正後の第１４８条の３第１項は，次の行為を課徴金の対象とする。
①個人情報を利用して違法な行為又は不当な差別的取扱いを行うことが想定される状況にある第三者に対する個人情報の提供
②第三者の求めにより行う個人情報の利用であって，その第三者が利用を通じて違法な行為又は不当な差別的取扱いを行うことが想定される状況にある場合に行われるもの
③第２７条第１項の規定に違反する個人データの提供
④統計作成等の特例について定める第３０条の２第４項若しくは第９項又は第３１条の３第５項の規定に違反する個人情報の取扱い

（続きを読む...）個人情報保護法の課徴金と罰則はどう変わるか―令和８年改正の対象行為，１０００人基準，算定方法と令和９年１月１７日施行の罰則強化（AI作成）

目次

第１　MFAを設定していても確認すべき経路第２　利用者の権限とアプリの権限はどう違うか１　利用者に代わるアクセスとアプリ自身のアクセス２　アプリの資格情報には証明書やシークレットがある第３　ConnectWiseに関する報告で確認できること１　既存の信頼関係が悪用されたとの報告２　認証成功とデータ取得は別の事実である第４　管理担当者に確認したいこと１　外部アプリの台帳２　利用者ログだけで調査を終えない３　条件付きアクセスの適用範囲第５　疑わしいアクセスが見つかったとき１　封じ込めと証拠保全を並行する２　事業者への質問を具体化する３　法務は事実の整理を技術担当と共有する第６　出典・関連記事
第１　MFAを設定していても確認すべき経路

Microsoft 365の不正アクセス対策では，利用者のパスワードや多要素認証（MFA）に注目しがちである。
しかし，バックアップなどの外部サービスが，利用者の操作を介さずに組織のデータへアクセスする構成もある。
利用者のログイン経路と，アプリが自身の資格情報でアクセスする経路を，分けて点検する必要がある。

Microsoftは，令和８年１０月２１日の調査報告で，ConnectWiseに関係するアプリケーション資格情報を悪用し，既にアクセスを許可していた顧客環境へアクセスする活動を報告した。
本稿は，同月２４日までに確認した報告と公式仕様を基に，外部アプリの権限，証拠保全及び委託管理上の点検事項を整理する。
個々の企業の被害や責任を認定するものではない。

第２　利用者の権限とアプリの権限はどう違うか
１　利用者に代わるアクセスとアプリ自身のアクセス

Microsoftの公式説明は，利用者に代わって行う委任アクセスと，利用者の対話的な操作を介さず，アプリ自身のIDで行うapp-onlyアクセスを区別している。
後者は，自動処理や複数の利用者の情報を扱うバックアップなどに使われる。

アプリにどの操作を許すかは，付与されたアプリケーション権限などによって決まる。
外部サービスと契約していることだけでなく，自社環境で何を許可したかを確認しなければならない。

２　アプリの資格情報には証明書やシークレットがある

サービスプリンシパルとは，組織の環境内でアプリなどの主体を表すものである。
そのサインインでは，アプリが証明書やクライアントシークレットなどの資格情報を用いる場合がある。
利用者がその都度パスワードを入力する処理とは異なる。

したがって，利用者のパスワード変更やMFAの設定確認だけで，アプリ側の資格情報や既存の権限まで点検したことにはならない。
MFAを継続しながら，アプリのID，所有者，資格情報，付与権限及び利用状況も調べることが必要である。

第３　ConnectWiseに関する報告で確認できること
１　既存の信頼関係が悪用されたとの報告

Microsoftは，Storm-0940と呼ぶ攻撃者がARTEXを用い，侵害したアプリケーションの資格情報を通じて顧客環境へアクセスしたと評価している。
報告が説明するのは，利用者の対話型ログインを必要としない経路である。
「AIがあらゆるMFAを破った」と言い換えることは適切でない。

ConnectWiseもCloud Backup（旧SkyKick）に関連するアプリケーション資格情報への不正アクセスを公表し，調査及び復旧に関する情報を更新している。
別の製品やポータルについての復旧告知を，Cloud Backupの復旧完了と読み替えないよう注意が必要である。

２　認証成功とデータ取得は別の事実である

Microsoftは，影響するアプリの存在や攻撃者による認証成功だけで，顧客データへのアクセス又は外部への持ち出しがあったとは限らないと説明している。
これは，被害がないと確認したという意味でもない。

（続きを読む...）Microsoft 365の外部アプリ権限と情報漏えい―ConnectWise事案から学ぶ点検事項（AI作成）

目次

第１　ARTEXについて最初に押さえること第２　AIモデル・攻撃ツール・攻撃者を分ける１　AIモデルは判断や文章生成を担う２　ARTEXは複数の処理を組み合わせる基盤である３　使用ツールだけでは攻撃者を特定できない第３　韓国・国内・ConnectWiseの報告は何が違うか１　CrowdStrikeによる韓国金融分野の調査２　JPCERT/CCによる国内向けの注意喚起３　MicrosoftによるStorm-0940の調査第４　企業が点検すべきこと１　公開システムと権限を点検する２　ログと初動の担当を決める３　IPアドレスだけで断定しない第５　被害調査と責任の問題を混同しない第６　出典・関連記事
第１　ARTEXについて最初に押さえること

ARTEXは，AIを利用するペネトレーションテストのための基盤であり，特定のAIモデルそのものの名称ではない。
ペネトレーションテストとは，実際の攻撃に近い方法でシステムへの侵入の可能性などを調べる試験である。

Microsoft及びCrowdStrikeは，令和８年１０月，ARTEXを悪用した攻撃について調査結果を公表した。
JPCERT/CCも同月２３日の注意喚起の更新で，ARTEXなどを悪用した攻撃試行を取り上げている。

企業にとっての問題は，「中国のAIだから危険」という分類だけでは捉えられない。
公開システムの脆弱性，管理不備，外部サービスに与えた権限などを，攻撃者がAIを使って効率よく探索・悪用し得る点にある。
本稿は，令和８年１０月２４日までに確認した公表資料を基に，仕組みと対策を整理する。

第２　AIモデル・攻撃ツール・攻撃者を分ける
１　AIモデルは判断や文章生成を担う

AIモデルは，入力された情報を基に解析や次の行動の提案などを行う。
どのモデルを使用したかと，どの組織が攻撃したかは，別々の確認事項である。

２　ARTEXは複数の処理を組み合わせる基盤である

Microsoftの説明によれば，ARTEXは，複数のAIエージェントを用いる基盤である。
AIモデルを呼び出すだけでなく，調査や試行の処理を組み合わせて進める。
使用するモデルを変更できるため，ARTEXの悪用を特定のモデル１製品の問題に限定することはできない。

CrowdStrikeが調査した韓国向けの活動では，ARTEXの主なモデルとしてDeepSeekが使われていたと報告されている。
同報告に登場する別のモデルの利用記録まで，すべて同一のARTEX設定だったと読むべきではない。

３　使用ツールだけでは攻撃者を特定できない

同じツールを異なる攻撃者が利用することがある。
「ARTEXが見つかった」という事実だけから，国，組織，動機又は他の事件との同一性まで確定することはできない。
攻撃者の帰属に関する評価には，観測資料と評価の確度を付けて読む必要がある。

第３　韓国・国内・ConnectWiseの報告は何が違うか
１　CrowdStrikeによる韓国金融分野の調査

CrowdStrikeの令和８年１０月７日付け報告は，韓国の金融分野を狙う活動について，公開状態にあった攻撃側の記録などを分析したものである。
同社は，中国語を使用し，金銭目的とみられる攻撃者との評価を示しているが，その確度は中程度とされている。
確定した捜査結果又は裁判所の認定として紹介することは適切でない。

２　JPCERT/CCによる国内向けの注意喚起

JPCERT/CCは，令和８年１０月２３日，注意喚起にケースEを追加した。

（続きを読む...）ARTEXとは―AIサイバー攻撃の仕組みと企業が確認すべき対策（AI作成）

目次

第１　レジデンシャルプロキシについての結論１　家庭の回線を第三者へ使わせる仕組み２　利用者が承知している場合と知らない場合がある第２　国内で確認された規模１　一日最大約２万７０００のIPアドレス２　不正送金事件との関係第３　どのような機器が悪用されるのか１　動画視聴端末，ルーター及びカメラ２　無料VPN及び提供元不明のアプリ３　DDoSボット等が追加される危険第４　悪用されていないか確認する方法１　機器とアプリを一覧にする２　通信量と設定の変化を見る３　外部からの到達可能性を確認する第５　悪用が疑われたときの初動１　通信を止めることと電源を切ることを分ける２　初期化や更新の前に記録を残す３　連絡先を整理する第６　平時の対策１　不審な機器及びアプリを導入しない２　更新とサポート期限を管理する３　JC-STAR及びNOTICEを利用する第７　法的責任の考え方１　機器の利用者２　メーカー，販売者及びサービス提供者３　直接判例の確認状況第８　よくある質問１　レジデンシャルプロキシを使うこと自体が違法ですか２　無料VPNを削除すれば安全ですか３　家庭用ルーターを初期化すべきですか第９　出典と確認範囲
第１　レジデンシャルプロキシについての結論

家庭の動画視聴端末，ルーター，ネットワークカメラ等が，利用者の知らない間に第三者の通信を中継する「レジデンシャルプロキシ」として悪用されている。
通信先からは一般家庭のIPアドレスによるアクセスに見えるため，不正送金，不正アクセス及びサイバー攻撃の実行者を隠す基盤となり得る。
本記事では，NICT，総務省及び警察庁の令和８年７月の公式資料を中心に，仕組み，国内の観測結果，確認すべき兆候，初動及び事業者の管理を整理する。

１　家庭の回線を第三者へ使わせる仕組み

レジデンシャルプロキシは，一般家庭向けのインターネット回線に接続した機器が，第三者の通信を中継する仕組みである。
通信先のサービスには家庭へ割り当てられたIPアドレスが記録されるため，攻撃者自身の接続元を把握しにくくなる。
企業が海外のデータセンター等からのアクセスを制限していても，国内の一般家庭からの通信に見えることで，不正検知を回避されることがある。

２　利用者が承知している場合と知らない場合がある

利用規約を読んで通信帯域を提供するサービスもあれば，提供元不明のアプリやマルウェアによって，利用者が気付かないまま中継機器にされる場合もある。
無料VPN又は「通信帯域を提供すれば収益が得られる」とうたうサービスについても，誰の通信をどの目的で中継するかを確認する必要がある。
利用者の認識，表示及び同意の有無と，実際に犯罪へ利用されたかは分けて調べる。

第２　国内で確認された規模
１　一日最大約２万７０００のIPアドレス

NICTは，令和８年１月以降，一日当たり最大約２万７０００のIPアドレスをレジデンシャルプロキシの出口ノードとして観測した。
国内には少なくとも数万台規模のレジデンシャルプロキシが存在すると推定している。
ここでいう数値は観測されたIPアドレス等に基づく推定であり，全ての家庭用IoT機器の台数ではない。

２　不正送金事件との関係

警察庁の分析では，令和６年中のインターネットバンキング不正送金事犯のうち，少なくとも１９１８件，被害額約２８億９０００万円でレジデンシャルプロキシが利用されていた。
被害件数全体の約４４％，被害額全体の約３３％に当たるとされる。
これは，レジデンシャルプロキシ自体が送金を行ったとの意味ではなく，攻撃者が接続元を隠す経路として利用したとの分析である。

第３　どのような機器が悪用されるのか
１　動画視聴端末，ルーター及びカメラ

公式ファクトシートは，「テレビに接続して無料で国内外の動画を視聴できる」などとうたう動画ストリーミング機器，ルーター，ネットワークカメラ及びデジタルフォトフレーム等を挙げている。
安価で提供者又は更新方法が不明な機器，初期パスワードのままの機器，インターネットへ管理画面を公開している機器及びサポート終了後の機器は，特に確認が必要である。

２　無料VPN及び提供元不明のアプリ

パソコン又はスマートフォンへ導入した無料VPN，提供元不明のアプリ及び通信帯域提供サービスによって，端末又は家庭内の機器が中継に使われることがある。
アプリを削除しただけで，ルーターや別のIoT機器に導入されたプログラムまで消えたとは限らない。
同じネットワークに接続している機器，管理アカウント及び外部通信を併せて確認する。

（続きを読む...）レジデンシャルプロキシとは―家庭用IoT機器が犯罪の踏み台になる仕組みと対策（AI作成）

目次

第１　ニューメキシコ州地裁が命じた内容第２　４３８９万９７２５件の内訳第３　違反件数はどのように計算されたか第４　陪審と裁判所が問題とした５分野１　利用者によるデータ管理及び「データを売らない」との表示２　第三者アプリの調査及び利用者への通知３　誤情報及びヘイトスピーチへの対応４　政治家・著名人等に対する異なる取扱い第５　ケンブリッジ・アナリティカ事件との関係第６　上限約２１９５億ドルから２５０億ドルになった理由第７　日本の個人情報漏えい慰謝料と単純比較できない理由第８　第一審判決であり，控訴と差止めの審理が残っている第９　子どもの安全を巡る別事件との区別第１０　関連記事第１１　出典及び確認範囲
第１　ニューメキシコ州地裁が命じた内容

令和８年１０月２１日，米国ニューメキシコ州第１司法地区裁判所は，State of New Mexico ex rel. Raúl Torrez v. Meta Platforms, Inc.（事件番号D-101-CV-2021-00132）について，Facebookを運営するMeta Platforms, Inc.に対し，２５０億ドルの民事制裁金を命じた。
ただし，陪審が認定した４３８９万９７２５件は，個人情報が漏えいした人数でも，被害者の人数でもない。
Metaが公表した２６個の表示ごとに，その表示を受けることが予想された州内の利用者数又は人口を積み上げた州消費者保護法上の違反件数である。

判決は，支払済みとなるまで年１５％の利息を付すとしている。
州が求めている差止めその他の非金銭的救済については，追加の書面提出と審理に留保された。

本件は，利用者の個人情報を直接流出させたことだけに対する損害賠償請求ではない。
ニューメキシコ州が，同州のUnfair Practices Actに基づき，Facebookが利用者に向けて行った表示が不公正又は欺瞞的であったと主張した州法上の執行事件である。

本記事では，ニューメキシコ州裁判所が公開した判決及び陪審評決票に基づき，報道だけでは分かりにくい違反件数の数え方，ケンブリッジ・アナリティカ事件との関係，２５０億ドルの位置付け及び日本の個人情報漏えい慰謝料との違いを整理する。
これは第一審の判断であり，Metaは控訴する方針を示している。

第２　４３８９万９７２５件の内訳

陪審は，次の５分野について，合計２６個の表示を不公正又は欺瞞的な取引行為と認定した。

分野認定された表示の数違反件数利用者によるデータ管理及び「データを売らない」との表示６件１０４５万９９４４件誤情報対策についての表示２件３４８万６６４８件ヘイトスピーチ対策についての表示５件７６４万６５９２件政治家・著名人等にも同じ基準を適用するとの表示３件４１５万９９４４件第三者アプリの調査及び利用者への通知についての表示１０件１８１４万６５９２件不公正又は欺瞞的な表示の合計２６件４３８９万９７２０件

陪審は，これとは別に，上記５分野の各１件について非良心的取引行為を認定した。
そのため，評決上の総数は４３８９万９７２５件である。

第３　違反件数はどのように計算されたか

判決によれば，Facebookのニューメキシコ州における令和２年６月３０日時点の月間利用者数は１３８万６６４８人であり，同州の人口は約２１０万人であった。

陪審は，各表示について，表示の方法及び想定された対象に応じて，１３８万６６４８人又は約２１０万人を違反件数として計上した。
例えば，令和２年のFacebook投稿について１３８万６６４８件，連邦議会で広く報道された発言等について約２１０万件という形である。

同じ利用者が複数の表示を見た可能性があり，同一人物が複数回計上されている。
また，実際に全員が各表示を閲覧したことを個別に立証した人数でもない。
したがって，４３８９万９７２５件を「漏えいした人数」又は「被害者数」と書き換えることはできない。

第４　陪審と裁判所が問題とした５分野
１　利用者によるデータ管理及び「データを売らない」との表示

陪審は，Facebookが，利用者は自己のデータを管理できる，個人データを販売しない，広告主に利用者を識別する情報を渡さないなどと説明した６個の表示を問題とした。

ここでは，「データを販売しない」という言葉と，利用者の行動等を自社内で分析し，広告主が特定の属性又は関心を持つ利用者へ広告を表示できるようにする仕組みとを区別する必要がある。
情報を商品として広告主へ引き渡すことと，プラットフォームが情報を保持したまま広告配信に利用することは，同じではない。

２　第三者アプリの調査及び利用者への通知

平成３０年３月以降，Metaは，大量のデータへアクセスしたアプリを調査し，疑わしいアプリについて監査を行い，データを不正利用した事業者を排除し，影響を受けた利用者へ通知すると公表した。

（続きを読む...）メタに約４兆円の制裁金―ケンブリッジ・アナリティカ事件と４３８９万件の「違反」の数え方（AI作成）

目次

第１　撮影への了解とインターネット公開への了解を分ける第２　肖像権・プライバシーは個人情報保護法とは別に確認する１　無断撮影・公表がすべて一律に違法となるわけではない２　会場にいたことから公開への包括的同意を推測しない第３　個人情報と個人データの違い１　会社行事の写真に直接答えた個人情報保護委員会のQ&A２　データの管理方法と公開先を確認する第４　撮影者の著作権も確認する第５　公開前の同意確認をどう設計するか１　媒体・期間・用途を分けて示す２　子どもや写り込みにも対応する第６　公開後の削除・変更の申し出に対応する
第１　撮影への了解とインターネット公開への了解を分ける

運動会や社内行事の写真を広報に使うときは，写っている本人に関する権利と，写真そのものの著作権を分けて確認する。撮影者が写真を提供したことや，参加者がカメラに向かって笑顔を見せたことだけで，どの媒体にも無期限に掲載できると扱うべきではない。

会社内の掲示，参加者限定の共有，会社ホームページ及び一般公開のSNSでは，閲覧者と拡散の範囲が異なる。何のために，誰に，いつまで見せるかを具体化することが，掲載判断の出発点である。

本記事は，令和８年１０月２２日を基準とする，日本の民間事業者による一般的な行事写真の取扱いの整理である。行政機関等の取扱いや，医療・介護，学校等の個別分野では，適用される規律・指針を別に確認する必要がある。

第２　肖像権・プライバシーは個人情報保護法とは別に確認する
１　無断撮影・公表がすべて一律に違法となるわけではない

最高裁平成１７年１１月１０日判決（平成１５年（受）第２８１号・民集５９巻９号２４２８頁）は，みだりに容ぼう等を撮影されず，写真を公表されない人格的利益を認めた。無断撮影の違法性については，地位，活動，場所，目的，態様，必要性等を総合し，社会生活上受忍すべき限度を超えるかを判断するとした。公開判決・本文４～５頁

これは刑事事件の法廷内での撮影等を扱った判決であり，運動会の集合写真を直接判断したものではない。行事の広報では，写真の大きさ，人物の扱われ方，説明文，公開範囲及び本人の了解の内容を，具体的な掲載画面に即して検討することになる。

２　会場にいたことから公開への包括的同意を推測しない

公開の場所で開催される行事であっても，個人を大きく写した写真を広告として使う場合と，会場全体の様子を伝える場合とでは，検討すべき事情が異なる。「屋外だから自由」「集合写真だから同意は不要」という一律の基準では判断できない。

同意を取得する場合も，行事の記録としての撮影と，採用広告や商品広告への転用を分ける。後から用途・媒体・対象者の範囲を広げる場合には，もとの説明と了解でその利用まで含まれているかを確認する必要がある。

第３　個人情報と個人データの違い
１　会社行事の写真に直接答えた個人情報保護委員会のQ&A

個人情報保護委員会のQ７－１１は，会社行事の写真を社内で展示する場面を扱う。本人を判別できる写真は個人情報である一方，一般的には個人情報データベース等を構成する「個人データ」ではないとして，個人情報保護法２７条１項との関係を説明している。ただし，利用目的の通知・公表は必要であり，肖像権やプライバシーへの配慮も求めている。個人情報保護委員会Q&A・Q７－１１

この回答は，「社内展示だからどの写真でも自由」「ホームページやSNSでも同じ」という意味ではない。また，写真を名簿と対応させるなどして，個人を検索できるよう体系的に管理する場合には，個人データ該当性を具体的に確認する必要がある。

２　データの管理方法と公開先を確認する

個人データに該当する写真を第三者に提供するときは，法２７条の本人同意原則と例外等を確認する。個人データに当たらない場合も，目的に応じた取扱いと，肖像・プライバシーの検討が残る。個人情報保護委員会の通則ガイドライン

なお，医療・介護関係のQ４－１５にも，利用者の行事写真の掲載等に関する回答がある。しかし，適用分野と前提があるため，その回答だけからすべての企業行事の写真について同じ法的結論を出すことは避けるべきである。医療・介護関係のQ４－１５

第４　撮影者の著作権も確認する

参加者本人が掲載に同意していても，他人が撮った写真の利用権限がなければ別の問題が生じる。撮影を外注した場合には，納品を受けたことと，写真の著作権を譲り受けたことを区別する。

文化庁の写真撮影に関する契約書作成支援システムは，撮影依頼に当たっての権利処理等を示している。主催者は，掲載媒体，利用期間，広告への転用，切抜きや加工，氏名表示及び再利用の範囲を，撮影者との契約・許諾に照らして確認するとよい。文化庁・写真撮影の契約上の注意事項

被写体の肖像に関する了解と，撮影者等の著作権上の許諾は，片方を得れば他方も当然に満たすという関係ではない。自由利用マークについての文化庁の説明も，写真中の人物への配慮を別に示している。ただし，同説明は自由利用マークを付ける場面のものであり，すべての写真掲載に関する一律の法定手続を示すものではない。文化庁・他人の肖像や著作物についての注意

第５　公開前の同意確認をどう設計するか
１　媒体・期間・用途を分けて示す

次は，行事運営のための実務上の提案である。法令がすべての主催者に同じ書式を義務付けるものではない。

開催案内には，撮影の目的，予定する掲載先，掲載期間及び問い合わせ先を示す。外部公開を予定する場合は，社内だけの記録利用と区別して，掲載を希望しない人が意思を伝えられる方法を用意する。申し出た人を不利益に扱わずに撮影・参加を調整できる運用が望ましい。

同意を得る際は，少なくとも次の情報を対応させて残す。

- 対象の写真又は対象となる撮影・行事
- 行事報告，採用広報，商品広告などの利用目的

（続きを読む...）運動会・社内行事の写真をホームページやSNSに載せてよいか―肖像権，個人情報と同意の範囲（AI作成）

目次

第１　無差別な探索と個別の攻撃を分けて考える１　自社が有名でなくても点検が必要な理由２　AIを使った攻撃とAI自体への攻撃第２　AIは無差別サイバー攻撃にどう関係するのか１　調査や解析の効率化が攻撃対象を広げる２　一般的なスキャンと対象別の解析３　AIワームと従来型ワームの違い第３　公開アプリから裏側のサーバを狙うA2B攻撃１　アプリの解析から接続先を調べる２　個別事件でAIが使われたかは別に確認する第４　企業が点検する対策１　公開範囲とAPIの権限を確かめる２　AI向け製品の導入だけで対策を終えない３　脆弱性対応を担当・期限・再確認までつなぐ第５　被害が疑われたときの調査と法務対応１　AI利用の特定を待たずに対応する２　対外説明の断定を調査の範囲に合わせる第６　よくある質問１　AIとサイバー攻撃の関係は？２　AIを使うとサイバー攻撃はなぜ広がるのか？３　AIに入力してはいけない情報は？４　AIを使わないほうがいい場合はあるか？第７　出典
第１　無差別な探索と個別の攻撃を分けて考える
１　自社が有名でなくても点検が必要な理由

AIを悪用したサイバー攻撃では，情報の収集や解析が効率化され，多数のシステムを調べた上で，見付かった弱点に合わせた攻撃が行われる危険がある。
「無差別に探されること」と「自社の仕様に合わせて攻撃されること」は，両立する。
会社の知名度だけを理由に，攻撃対象にならないと考えることはできない。

本記事では「無差別」を，特定の一社に限らず広く対象や弱点を探すという意味で用いる。
全ての会社が同じ手法で攻撃されたことや，AIが一連の操作を全自動で実行したことを意味しない。
以下は令和８年１０月１８日までに確認した公表資料に基づく説明である。

２　AIを使った攻撃とAI自体への攻撃

国家サイバー統括室のサイトに掲載されたIPA担当者のコラムは，AIの悪用により従来の攻撃の速度や量が増す問題と，AI自体が攻撃対象になる問題を分けている。
前者には詐欺メールの作成や攻撃の効率化があり，後者には外部の文章を通じてAIに不適切な指示を与える間接プロンプトインジェクションなどがある。
本記事の中心は前者であり，社内で生成AIを使っていない企業にも関係する。

第２　AIは無差別サイバー攻撃にどう関係するのか
１　調査や解析の効率化が攻撃対象を広げる

AIは，攻撃者が情報を読み解き，プログラムや通信の仕組みを調べる作業を助ける場合がある。
NICTは，AIの活用によってアプリの解析や脆弱性の発見が効率化され，攻撃がより多くのシステムに広がる可能性に注意を促している。
これは攻撃が広がる仕組みの説明であり，国内の全ての漏えい事案についてAI利用が実証されたという意味ではない。

また，広い範囲を自動で探索する攻撃と，AIの利用は同じ概念ではない。
アクセスが大量又は高速であるという事情だけで，AIが使われたと断定しないことが必要である。
IPA担当者の同コラムも，攻撃の様子だけからAIとの関わりを判別できないのが通例であると説明している。

２　一般的なスキャンと対象別の解析

JPCERT/CCの令和８年１０月８日公開・２３日更新の注意喚起は，さまざまな既知の脆弱性を探索するケースと，API経由で不正な操作を行うケースなどを挙げている。
同資料は，把握している情報が限定的・断片的であり，全ての事案が同じ攻撃手法によるものではないと留保している。
したがって，最近の被害を一つの原因にまとめず，自社の構成と記録に照らして点検する必要がある。

JPCERT/CCは，令和８年１０月２３日の更新で，Cairn，CyberStrikeAI及びARTEXなどのAIを用いたペネトレーションテスト基盤を悪用した攻撃試行を，ケースEとして追加した。
主に公開Webアプリケーションの脆弱性や管理不備を狙うもので，公開WSUSサーバーを標的とした試行も含まれると説明している。
これは，国内のすべての漏えい事案がARTEXや同じ攻撃者によるものだと認定したものではない。

AIモデル，攻撃基盤及び攻撃者の区別と，韓国向け・国内向け・ConnectWise関係の各報告の違いは，ARTEXとは―AIサイバー攻撃の仕組みと企業が確認すべき対策で扱う。

３　AIワームと従来型ワームの違い

（続きを読む...）AIを悪用した無差別サイバー攻撃とは―仕組みと企業の対策（AI作成）

目次

第１　企業の信頼を守る法務の備えとは１　事故を完全になくす約束ではなく，発見して説明できる体制を整える２　「情報漏洩」と法令上の「漏えい等」を区別する第２　なぜ今，企業法務が平時から関与する必要があるか１　攻撃経路と委託関係が複雑になっている２　令和８年１０月の注意喚起と現行義務を混同しない第３　最初に情報と法的関係を分類する１　個人情報だけを見ない２　自社，委託元，委託先及びクラウド事業者の役割を固定する第４　平時に整える六つの備え１　情報資産・システム・委託先の台帳２　権限・認証・ログ・バックアップ３　社内規程と教育４　初動連絡網と判断票５　契約とサイバー保険６　机上訓練と更新第５　発覚直後の初動１　被害拡大防止と証拠保全を並行する２　確認済み事実，可能性及び不明を分ける３　関係者への連絡と守秘第６　個人情報保護委員会への報告，本人通知及び公表１　報告対象となる四つの類型２　速報と確報３　本人通知と対外公表は目的が異なる第７　信頼を損なわない対外説明１　最初の発表で断定し過ぎない２　更新履歴を残す３　再発防止策を抽象語で終わらせない第８　情報漏洩と企業法務に関するよくある質問１　情報漏洩を防ぐ三原則は何ですか２　情報漏洩の原因一位は何ですか３　情報漏洩で会社はどのような責任を負いますか４　会社で情報漏洩が起きたら最初に何をしますか５　従業員が漏えいさせたら直ちに解雇できますか６　生成AIへ社内情報を入力することは情報漏洩ですか７　情報漏洩の公表は必ず必要ですか８　法務部門だけで準備できますか第９　企業法務の確認チェックリスト第１０　関連記事第１１　出典
第１　企業の信頼を守る法務の備えとは
１　事故を完全になくす約束ではなく，発見して説明できる体制を整える

情報漏洩が相次ぐ今，企業の信頼を守る法務の備えは，「事故を一件も起こさない」と表明することではない。
保有する情報と利用するシステムを把握し，異常を早期に発見し，被害拡大を止め，証拠を残し，必要な相手へ期限内に報告・通知し，確認済みの事実を継続して説明できる体制を平時から整えることである。

本記事は，一般企業が個人データ等の漏えい，滅失又は毀損のおそれを把握した場合を中心に，企業法務が確認する順序を整理する。
金融，医療，通信，上場会社等には業法上の報告又は適時開示が加わることがあるため，個別業種の規制は別に確認する必要がある。

２　「情報漏洩」と法令上の「漏えい等」を区別する

一般に「情報漏洩」と呼ばれる事象には，外部への流出だけでなく，誤送信，紛失，盗難，不正アクセス，設定不備，内部不正，ランサムウェアによる利用不能及びデータの改変が含まれ得る。
個人情報保護法の実務では，個人データの「漏えい，滅失又は毀損」を分け，それぞれ発生又は発生のおそれがあるかを判断する。

第２　なぜ今，企業法務が平時から関与する必要があるか
１　攻撃経路と委託関係が複雑になっている

近時の公的注意喚起は，既知の脆弱性，認証情報の窃取，クラウド設定，APIの認可不備，グループ会社，委託先及び個人用領域など，事故の入口が一つではないことを示している。
法務部門は，情報システム部門だけに対応を委ねず，誰がどの情報をどのサービスで扱い，誰に委託し，異常時に誰が決定するかを契約と社内体制の両面から確認する必要がある。

２　令和８年１０月の注意喚起と現行義務を混同しない

個人情報保護委員会が令和８年１０月７日に示した資料は，大規模漏えい等を踏まえ，異常の早期検知，横展開防止，ログ取得・保存・分析及び遮断等を重視している。
同資料は，見直しの内容の確定を令和９年４月に予定すると説明し，見直し予定の内容を先取りして示している。
この記載を令和９年４月からの適用開始が確定したという意味に読み替えず，現行の義務，手法の例示及び今後の見直しを区別する。

個人情報保護法上の安全管理措置義務，現行ガイドライン，将来改正の予告及びMFA・EDR等の技術上の手法例は，根拠と時点を分けて検討する。
具体策は，取り扱う情報の性質，件数，システム構成，事業規模，委託関係及び当時の技術水準に応じて選ぶ。

第３　最初に情報と法的関係を分類する
１　個人情報だけを見ない

初動では，氏名や連絡先を含む個人情報だけでなく，要配慮個人情報，決済情報，認証情報，営業秘密，契約上の秘密，顧客から預かった資料，マイナンバー，知的財産及び業務継続に必要なデータを分類する。
同じファイルでも，個人情報保護法，番号法，不正競争防止法，秘密保持契約，委託契約及び業法上の義務が重なることがある。

２　自社，委託元，委託先及びクラウド事業者の役割を固定する

クラウド又は委託先で事故が起きても，自社の本人通知，行政報告，契約通知及び顧客対応が当然に不要になるわけではない。
平時の契約では，事故の定義，第一報の期限，提供すべきログと事実，調査協力，証拠保全，再委託，費用負担及び対外公表の調整方法を確認する。

事故発生後は，事実を知らないまま責任の押し付け合いをしないよう，意思決定者，技術調査担当，法務担当，広報担当及び外部専門家の連絡線を一本化する。

第４　平時に整える六つの備え
１　情報資産・システム・委託先の台帳

（続きを読む...）情報漏洩が相次ぐ今，企業の信頼を守る法務の備え―平時の体制，発覚後の初動，報告・通知・公表（AI作成）

目次

第１　報告書の結論と調査の限界を一緒に読む１　対象と結論２　フォレンジック調査と法的判断の役割第２　調査対象と対象外の理由を確かめる１　機器名だけでなく業務上の役割を見る２　除外理由と未調査の範囲を残す第３　ログの有無，期間及び偏りを点検する１　取得できたログと失われたログ２　直近のログから過去全体を推定しない第４　閲覧，取得及び外部送信を分けて評価する１　確認された事象と技術上の可能性２　対外説明は根拠と留保を合わせる第５　調査完了を待たず報告対象と期限を検討する１　個人データと報告対象事態への当てはめ２　速報，確報及び本人通知第６　調査会社・クラウド事業者への質問を記録にする１　回答の根拠，担当及び更新を残す２　専門会社への依頼と再調査の必要性第７　関連する実務と出典１　関連する実務２　出典
第１　報告書の結論と調査の限界を一緒に読む
１　対象と結論

サイバー事故の調査報告書に「情報の持出しは確認されなかった」と記載されていても，その一文だけで漏えいがなかったとは判断できない。
どの機器・サービスを，どの期間のどの記録で調べ，何が確認できずに残ったのかを併せて読む必要がある。
逆に，ログが不足していることだけで漏えいが実際に起きたと断定することもできない。

本記事は，企業の法務担当者，顧問弁護士及び法律・税理士事務所が，調査会社又はクラウド事業者の報告を受け取る場面を扱う。
個人情報保護委員会の「不正アクセス発生時のフォレンジック調査の有効活用に向けた着眼点」を中心に，報告書への質問と法的判断へのつなぎ方を整理する。
制度の整理の基準日は令和８年１０月１３日であり，GMOの公表事例に関する今回の追補の基準日は同月３０日である。
また，以下の質問表は法定の様式ではなく，事案に応じて使う運用上の提案である。

２　フォレンジック調査と法的判断の役割

フォレンジック調査は，端末，サーバー，ログ等を保全・解析して，侵入経路や影響を調べるための技術的な調査である。
調査の結論と，個人情報保護法上の報告対象事態への該当性，契約違反，過失，損害及び懲戒等の判断は区別する。
技術的な評価語が，そのまま法律上の要件を満たすとの意味で使われているかも確認する必要がある。

第２　調査対象と対象外の理由を確かめる
１　機器名だけでなく業務上の役割を見る

報告書を読む担当者は，調査対象の端末・サーバー・クラウドを，業務上のデータの流れと対応付ける。
ファイルサーバーを調べても，メール，バックアップ，共有リンク，管理用アカウント又は別のクラウドが対象外であれば，その領域の影響まで調査済みとはいえない。
機器が多いという理由で全てを同じ深さで調べる必要があるとは限らないが，対象を絞った理由と，そこから説明できる範囲は必要である。

２　除外理由と未調査の範囲を残す

PPC資料３１・３２頁は，対象機器や保全データの詳細に加え，調査対象として選定した理由及び選定しなかった理由を明らかにすることを勧めている。
費用，ログ不足又は簡易調査の結果に基づき対象を絞った場合にも，調査範囲と被害が生じ得る範囲が同じとは限らない。
調査依頼時と結果受領時に，対象の追加・変更とその理由を記録すると，後日の説明に役立つ。

確認事項調査担当者へ求める説明対象の同定機器・サービス・アカウントの識別情報，業務上の役割，保存されるデータ。対象外除外した機器・サービスと理由。他の記録で影響を確認したか。調査期間想定する侵入期間と，実際に調べられる期間の差。根拠資料使用したログ・保全イメージの一覧，取得日時，取得者及び同一性の確認。追加調査結論が変わり得る未取得資料，取得可能性，保存期限及び担当者。
第３　ログの有無，期間及び偏りを点検する
１　取得できたログと失われたログ

PPC資料３３頁は，調査の前提となったログの詳細と，重要なログを保存していなかった又は消失していた事情を明らかにすることを勧めている。
接続成功だけを記録するログ，操作を記録しないサービス，暗号化されて読めないログ，攻撃者が削除したログは，それぞれ説明できる内容が異なる。
報告書の「ログなし」を，保存設定なし，保存期限切れ，消去，取得不能又は対象外に分けて確認する。

半田病院が公表した調査報告書の３．４．３．１（PDF実頁１９頁・紙面１６頁）は，VPN装置の脆弱性や資格情報に関する事情等を踏まえ，そのネットワークを悪用した侵入の可能性が極めて高いと評価している。

（続きを読む...）情報漏えいのフォレンジック報告書をどう読むか―調査範囲，ログ欠落及び「痕跡なし」の限界（AI作成）

目次

第１　事故件数を評価する前に確かめること１　結論２　発生，検知，報告及び公表を分ける第２　ゼロ件の説明には複数の可能性がある１　事故がない場合と見えていない場合２　相談しやすさと記録の質も見る第３　公的な報告件数の増加を読む１　報告義務化による観測の変化２　不審アクセス数と被害報告数は別である３　「原因１位」は集計対象によって変わる第４　「内部検知５２％」は何を表すか１　調査済み事案の検知源の構成比２　年，対象及び統計量を付けて説明する第５　顧問先・専門職事務所で使う確認票１　件数の説明と管理の実態を対応させる２　税務資料と事件資料への当てはめ第６　安全管理，報告義務及び民事責任を分ける第７　出典
第１　事故件数を評価する前に確かめること
１　結論

「これまで情報漏えいはゼロである」という説明を受けても，その数字だけで安全管理が十分であるとは判断できない。
実際に事故がなかった場合と，検知できなかった場合，社内へ報告されなかった場合，集計から除外された場合を区別する必要がある。
一方，事故ゼロの企業が必ず最も危険であるとか，事故を公表した企業の方が安全であるという順位を，件数だけから付けることもできない。

本記事は，企業の法務担当者，顧問弁護士及び法律・税理士事務所が，事故件数やサイバー統計を用いて管理体制を点検する場面を扱う。
資料の基準日は令和８年１０月１３日であり，以下の質問票は公表資料を踏まえた運用上の提案である。
個別企業の安全性又は法的責任を認定するものではない。

２　発生，検知，報告及び公表を分ける

事故が発生していても，担当者が気付かなければ検知件数には入らない。
検知されても社内報告がなければ経営者の把握件数に入らず，行政への報告又は一般への公表の件数とも一致しない。
統計を読むときは，どの段階を数えているかを最初に確認する。

数字の段階確認する事項発生何を事故と定義し，どの期間・システム・データを対象にしたか。未検知の事案まで数えられる資料か。検知・認知誰がどの方法で発見したか。相談，外部通知，監視対象外の機器を含むか。報告社内報告，行政への法定報告，警察への被害報告のどれか。報告対象や経路が変わっていないか。公表ウェブサイト等で公表された事案か。未公表の報告や対象外の事案を含むと誤解していないか。
第２　ゼロ件の説明には複数の可能性がある
１　事故がない場合と見えていない場合

ここで問題にする暗数は，実際には存在していても認知された件数に表れない事案である。
その規模がゼロという表示だけから分かるわけではない。

集計がゼロである場合には，少なくとも次の可能性を分けて確認するとよい。
どれに当たるかは，数字だけでなく，台帳，ログ，相談記録及び報告の運用から判断する。

可能性確認する記録・運用対象期間中に事故がなかった対象資産と監視範囲が明確であり，点検・相談・委託先通知を確認したか。事故があったが検知できなかったログを取得していない環境，監視していない機器，保存期間外の空白がないか。検知したが報告されなかった報告先が分かるか。担当者が不在でも報告できるか。軽微と自己判断して記録を残さない運用がないか。定義又は集計範囲が狭い誤送信，誤共有，持出し，滅失・毀損，委託先事故又は未遂を別集計にしていないか。
２　相談しやすさと記録の質も見る

事故件数を減らす目標だけを掲げると，担当者が相談をためらう運用になっていないかを確認する必要がある。
相談を受けたことと違反を認定したことを分け，誤送信の疑い，設定ミス又は不審な操作でも記録できる入口を設ける方法が考えられる。
相談件数の増加だけで管理の悪化を決め付けず，内容，検知方法，対応時間及び是正結果を併せて見る。

これは，報告を増やせば事故が減るという効果を保証する説明ではない。
報告経路が実際に使えるか，報告後に必要な調査と改善が進むかを点検するための考え方である。

第３　公的な報告件数の増加を読む
１　報告義務化による観測の変化

個人情報保護委員会の令和４年度年次報告９頁は，漏えい等の報告７６８５件が前年度の受付５８４６件より増えたことについて，報告の義務化と周知等によるものと考えられると説明している。

（続きを読む...）「情報漏えいゼロ」は安全の証拠か―暗数，報告件数及び検知率の読み方（AI作成）

目次

第１　最初に行うことと本記事の対象１　公式の連絡先で通知の真偽と対象範囲を確認する２　会社全体の公表と自分の情報を分ける第２　流出項目ごとの対処１　ID，パスワード，メールアカウント２　氏名，住所，電話番号，予約情報３　口座情報，カード情報，不審な取引４　本人確認書類，医療資料，写真及び保存ファイル第３　証拠を残しながら二次被害を防ぐ１　通知，公表，問い合わせの原本を保存する２　被害と対処を時刻順にまとめる第４　相談先と事業者に確認する事項１　相談の目的で窓口を選ぶ２　返答を求める項目を具体化する第５　関連記事第６　出典
第１　最初に行うことと本記事の対象
１　公式の連絡先で通知の真偽と対象範囲を確認する

個人情報漏えいの通知を受けた場合は，①公式の経路で通知を確認する，②自分に関係する流出項目を確かめる，③不正ログインや不正送金等の拡大を止める，④通知と対応の証拠を保存する，という順で進める。
進行中の不正利用がある場合は，資料を全て揃えるまで停止の依頼を待たない。

通知メールやSMSに書かれたリンクや電話番号だけを信用せず，普段使っている公式アプリ，ブックマーク又は契約書にある連絡先から事業者の案内を確認する。
IPAの不正ログイン対策も，不審な連絡の真偽は公式サイトや公式アプリから確認することを勧めている。
補償や返金の手続を装った連絡に，認証コード，パスワード又は口座の暗証番号を渡さない。

２　会社全体の公表と自分の情報を分ける

公表された件数が，自分の流出項目を示しているとは限らない。
退会者，登録途中の者，同行者又は法人契約の登録利用者も対象に含まれる場合があるため，利用時期，登録情報，対象サービス及び通知の対象条件を確認する。
事業者には，自分が対象か，どの項目が漏えいしたか又はそのおそれがあるか，いつのデータか，確認済みの事実と調査中の事項は何かを問い合わせる。

本記事は，令和８年１０月１６日時点で確認した官公庁の案内と事業者の公表に基づく，本人向けの初動の説明である。
問い合わせ内容と証拠のまとめ方は，これらを踏まえた実務上の提案である。
事業者の報告義務の判断や慰謝料の額は，末尾の関連記事で別に扱う。

ソースネクスト株式会社の令和８年１０月１５日の公表は，対象件数を２２５１万９９６０件としつつ，列挙した項目は流出した可能性のある全項目であり，全ての会員について全項目が対象となったわけではないと説明している。
同社FAQは，同月１３日１３時３６分までの登録者を対象範囲とし，対象者への案内を順次行うとしている。
全体の対象範囲，最大の項目集合及び自分について対象となった項目を分けて確認する必要がある。

同社の公表ページはログイン時にパスワード再設定を求める措置を説明し，FAQはパスワードのリセットを順次実施すると説明している。
個別メール，公表ページ，FAQ及び実際のログイン画面の表現が異なる場合は，各資料と確認時刻を保存し，公式サイトを直接開いて最新の手順を確認する。
公式に使用されている送信元ドメインと一致することだけで個別メールの真正性を確定せず，完全なメールヘッダーも保存する。

同社はパスワードが流出した可能性を公表しているが，令和８年１０月１６日時点の公表資料から保存方式は確認できない。
平文であった又は安全なハッシュ化であったと推測せず，公式手順による再設定と，同一又は類似のパスワードを使っている他サービスの変更を優先する。

第２　流出項目ごとの対処
１　ID，パスワード，メールアカウント

認証情報が流出した場合は，対象サービスの公式の手順で変更し，同じパスワードを使っている他のサービスも変更する。
個人情報保護委員会の令和８年８月１９日の注意喚起は，メールサービスの流出したパスワードと同一又は類似のパスワードを他のサービスで使っている場合にも変更を求めている。
ハッシュ化して保存されていたという説明だけで，変更が不要であると判断しない。

自分でログインできる場合は，パスワード変更に加え，登録メールアドレスや電話番号に不審な変更がないか確認し，多要素認証の設定を検討する。
ログインできない場合は，公式の復旧手順とサポート窓口を使う。

（続きを読む...）個人情報漏えいの通知を受けたら―流出項目別の対処，二次被害の防止と証拠保存（AI作成）

目次

第１　資料の位置付けと要点１　大学病院側の提言を読む意味２　要望・政策方針・現行制度を区別する第２　調査から分かる現場の負担１　回答数と集計の範囲２　初期整備よりも継続運用が問題となる第３　全国医学部長病院長会議の９つの要望１　財政支援・制度簡素化・専門人材２　研究資源の保護と大学への還元３　セーフハーバーは創設要望である第４　１０月の正式なとりまとめとの関係１　大規模病院と対象データを段階的に扱う方針２　公的支援を受けた研究は別の論点となる３　費用還元・患者対応・識別子第５　提供費用とデータの対価を分けて検討する１　現行ガイドラインが認める費用負担２　契約と予算で明確にする項目第６　大学病院の法務担当者が整理すべき事項１　提供対象と手続を台帳化する２　契約・運用・事故対応を対応させる第７　よくある疑問１　すべての大学病院に提供義務が確定したのか２　研究データはすべて提供対象から外れるのか３　資料の費用イメージをそのまま予算要求に使えるか４　セーフハーバーにより病院は免責されるのか第８　主な参照資料
第１　資料の位置付けと要点
１　大学病院側の提言を読む意味

「大学病院における医療等情報の提供に伴う課題と要望」は，全国医学部長病院長会議（AJMC）が令和８年７月８日の内閣府「医療等情報の利活用の推進に関する検討会」第１３回会合に提出した資料である。大学病院が保有する医療情報を研究開発に活用する際の，費用，人材，データ品質，患者対応，知的財産及び責任分担の課題をまとめている。

提言の中心は，データ提供の推進に協力する一方で，財政・技術支援と人材確保を先行させ，電子カルテの更新時期などを考慮して段階的に進めるべきだという点にある。接続システムを作れば終わるわけではなく，抽出・修正・問い合わせ・拒否申出への対応を継続する負担がある。

本記事は，この資料と令和８年１０月９日公表の正式な「とりまとめ」を対照し，大学病院の管理部門，情報部門，研究部門及び法務担当者が確認すべき事項を整理する。患者の同意と各制度の全体像は，医療情報は同意なく使われるようになるのかで説明している。

２　要望・政策方針・現行制度を区別する

AJMC資料は大学病院側の要望であり，それ自体が病院の提供義務や免責を定めるものではない。１０月のとりまとめも制度改正に向けた政策方針であり，新たな提供義務が直ちに施行されたことを意味しない。とりまとめは令和９年通常国会への法案提出を目指すことを踏まえ，法制上の調整・検討を進めるべきとしている。

したがって，令和８年１０月１１日時点の実務では，現行の提供ルートと手続を確認する必要がある。「今後，提供義務の対象とする方針である」という記述を，「現在，すべての大学病院が，すべての研究データを提出しなければならない」という意味に読み替えてはならない。

第２　調査から分かる現場の負担
１　回答数と集計の範囲

AJMCは令和８年６月１０日から２４日まで，大学病院８２校を対象に調査し，７１校から回答を得た。資料３頁のFHIR対応やDICOM形式での画像出力に関する数値には，対応済みだけでなく対応予定が含まれる。接続可能性と，継続的に研究用途のデータを提供できる体制とは区別する必要がある。

資料４頁の負担に関する自由記述は，回答７１校のうち４８校によるものである。その整理では，費用負担が４０件，人的負担が２２件，技術的負担が２１件，制度的負担が８件として示されている。これらは資料による分類数であり，排他的な回答割合や全国すべての大学病院の割合として扱うべきではない。資料５頁の提供義務化に関する自由記述は２９校であり，４８校の集計とは別である。

２　初期整備よりも継続運用が問題となる

負担として挙げられているのは，電子カルテ・部門システムの改修，標準コードへの対応，画像出力，共通仕様の不足，認定事業者ごとに異なる接続，専任人材の確保，医師によるデータ確認などである。診療情報，研究情報及び患者説明を複数部署が扱うため，情報システム担当者だけに任せることは難しい。

AJMC資料１４頁には，１施設当たりの経費負担について次の「イメージ」が示されている。

区分資料上の金額と期間初期整備費用数年間で２．２億円〜８．８億円ランニングコスト年間１．７億円〜５．２億円

この金額は参考的な費用イメージであり，７１校の実支出の平均値ではない。施設規模，既存設備，対象データ，接続方式などを揃えた見積りでもないため，個別病院の必要予算をこの数字だけで決定することはできない。予算協議では，初期費用と毎年の運用費を分け，追加データや仕様変更により増える費用も見積もるべきである。

第３　全国医学部長病院長会議の９つの要望
１　財政支援・制度簡素化・専門人材

AJMC資料１０頁から１３頁の要望は，次の９項目に整理できる。表は資料の趣旨を要約したものである。

要望求めている対応０１　財政支援継続的な支援，加工等の認定事業者負担，出力機能の標準化による病院負担の軽減０２　制度簡素化制度の整理，分かりやすい判断手順，倫理審査と出口規制の役割分担，国による周知０３　対価・知財保険診療データの提供費用の回収と，研究由来データ等の権利保護０４　対象範囲保険診療由来データと，大学が独自に蓄積したゲノム等の学術資源との区別０５　画像等法的位置付けの整理と，大量の画像データの伝送・蓄積に必要な投資への支援０６　安全性・責任被害補償，公的な安全解析環境，監視体制，サイバー保険への支援０７　患者対応国民の理解形成，オプトアウトの一元管理，苦情窓口の集約，免責条項の創設０８　研究への還元費用・研究利用の利益の還元，統合データベースの利用，倫理審査の合理化０９　専門人材医療情報・データ・セキュリティの人材育成，配置，人件費及び共同利用への支援

各要望は相互に関連する。例えば，データ出力を義務付けても，ベンダーの改修費，専任人材の人件費及び品質確認の負担を誰が負うかが決まらなければ，継続的な提供は難しい。標準化前の個別対応が費用を増大させるという指摘も，段階的な導入を求める理由である。

２　研究資源の保護と大学への還元

資料１１頁は，保険診療によって得たデータと，大学が独自の研究費で蓄積したレジストリ・バイオバンク等のデータや，通常患者に提供されない元データを区別している。後者を提供義務の対象外とし，強制的な無償提供が生じない制度設計を求めている。

これはAJMCの制度設計上の主張である。すべての研究データに同じ知的財産権が成立するという法的結論ではない。提供対象を検討する際には，データの由来，研究費の条件，共同研究契約，営業秘密の管理，特許出願や成果公表の時期を個別に確認する必要がある。

資料１３頁は，金銭的な利益に加え，大学病院自身が統合されたデータベースを研究に利用できることを重視している。提供側と利用側の双方を担う大学病院にとって，利用申請の条件，利用料及び研究者のアクセス環境も重要な検討事項となる。

３　セーフハーバーは創設要望である

資料１２頁は，病院が二次提供を行っても患者から直接法的責任を追及されない「Safe Harbor（セーフハーバー）条項」の創設を求めている。これは責任軽減の要望であり，この資料を根拠に「法令に従って提供すれば，病院は一切責任を負わない」と説明することはできない。

提供先との契約で事故対応や費用負担を定めることと，患者に対する責任が法律上免除されることも別問題である。提供先の管理下で起きる事故と，病院の抽出・送信・除外処理の誤りを区別し，実際に管理できる範囲に応じて責任を整理することが必要となる。

（続きを読む...）大学病院における医療等情報の提供に伴う課題と要望―全国医学部長病院長会議の提言と法務上の論点（AI作成）

目次

第１　本記事の対象と結論１　対象２　結論３　基準日と資料第２　ECサイトのカード情報漏えいの現状１　ガイドラインの認識２　個人情報保護委員会の指導事例３　AIを使った攻撃の報告第３　割賦販売法上の加盟店の義務１　カード番号等の適切な管理（３５条の１６）２　事故時の調査（施行規則１３２条）３　ガイドラインの位置付け４　改善命令と加盟店契約による監督５　不正利用の防止（３５条の１７の１５）第４　EC加盟店に求められる「脆弱性対策」１　５つの対策２　委託先の管理３　SQLインジェクションの根本的な対策第５　個人情報保護法の漏えい等報告第６　開発・保守委託先との責任分担１　東京地裁平成２６年１月２３日判決２　前橋地裁令和５年２月１７日判決３　契約実務への示唆第７　相談を受けたときの確認事項第８　関連記事第９　出典１　法令２　ガイドライン等３　報告４　裁判例（裁判所HP掲載）５　裁判例（判例秘書で確認）
第１　本記事の対象と結論
１　対象

ECサイトを運営する事業者（EC加盟店）からクレジットカード情報が漏えいした場合に，加盟店がどのような法的義務を負い，サイトの開発・保守を委託した事業者との間で責任がどう分かれるかを扱う。
個人情報保護法の漏えい等報告にも触れるが，中心は割賦販売法とクレジットカード・セキュリティガイドラインである。

２　結論

① EC加盟店は，割賦販売法３５条の１６第１項２号の「クレジットカード番号等取扱業者」として，カード番号等の漏えい等の防止その他の適切な管理のために必要な措置を講じる義務を負う。
② クレジットカード・セキュリティガイドライン６．１版は，この義務の実務上の指針と位置付けられている。
同ガイドラインは，現在の主な漏えいを，カード情報を保持しない「非保持化」を実現したEC加盟店でWebサイトの脆弱性等を原因として窃取されるものとし，EC加盟店に「脆弱性対策」を求めている。
③ 「脆弱性対策」は，管理画面のアクセス制限と多要素認証，アップロードできるファイルの制限，脆弱性診断又はペネトレーションテストの定期実施等であり，「下記のすべての対策を講じる」ものとされている。
サイトの構築・運用を委託するときは，委託先にもこれを理解した構築・運用を求めることとされている。
④ 加盟店は経済産業大臣の改善命令の対象から除かれているが，加盟店契約を結ぶ事業者が加盟店の措置を調査し，基準に適合しないおそれがあれば，契約を結ばず，又は解除等の措置を講じる義務を負う。
⑤ ECサイトからのカード番号を含む個人データの漏えいは，個人情報保護法施行規則７条２号の報告対象事態の例としてガイドラインに挙げられており，人数にかかわらず報告対象となる。
⑥ 開発・保守の委託先が公的機関の周知していた基本的な対策を怠った場合，契約金額を上限とする責任制限条項が適用されないとした裁判例がある（東京地裁平成２６年１月２３日判決，前橋地裁令和５年２月１７日判決）。
他方で，加盟店側が危険を知りながら放置していた事情は過失相殺の理由となる。

３　基準日と資料

本記事は，令和８年１０月１０日時点で，e-Gov法令検索で取得した割賦販売法，割賦販売法施行規則，個人情報保護法及び同法施行規則の条文，クレジット取引セキュリティ対策協議会の「クレジットカード・セキュリティガイドライン【6.1版】」（令和８年３月），個人情報保護委員会の資料並びに判決の全文に基づく。

第２　ECサイトのカード情報漏えいの現状
１　ガイドラインの認識

ガイドライン６．１版は，冒頭で次のように述べている（PDF９頁）。

> 「現在の主な情報漏えいは、非保持化を実現したEC加盟店においてWebサイトの脆弱性等を原因としてカード情報が窃取されているものである。」

カード情報を自社のサーバーに保存しない「非保持化」は，長く有効な対策とされてきた。
しかし，決済画面に入力される前のWebサイト自体が改ざんされると，保存していなくても入力された情報が窃取される。
そのため同ガイドラインは，６．０版から，EC加盟店に対し，カード情報を保持するかどうかにかかわらず，システムとWebサイトの「脆弱性対策」を講じることを指針対策としている。

２　個人情報保護委員会の指導事例

個人情報保護委員会の令和７年度年次報告（印字頁１０頁）は，不正アクセスによる漏えい等の原因として，「ＶＰＮ（Virtual Private Network）機器の脆弱性やＥＣサイトを構築するためのアプリケーション等の脆弱性が公開され対応方法がリリースされていたにもかかわらず、事業者が放置していたこと」，推測されやすいID・パスワード，データベースのアクセス制御の設定ミス等，安全管理措置に不備があったケースが多くみられたとしている。

３　AIを使った攻撃の報告

セキュリティ企業のGambit Securityは，令和８年９月２２日，攻撃者の作業用サーバーから回収したログを分析した中間報告を公表した。
同報告によれば，攻撃者は公開されているAIエージェントのツールを組み合わせ，令和８年９月１０日から１５日までの間に１０５件の攻撃を行い，少なくとも２７社に程度の差はあれ侵入し，２社から合わせて６０万件を超える有効なカード情報を取得していた。
攻撃者自身の集計では，完了した１０１件の調査にかかったAIの利用料は平均２５．４６ドルであった。

（続きを読む...）ECサイトのカード情報漏えいと加盟店の義務―割賦販売法３５条の１６，クレジットカード・セキュリティガイドライン６．１版及び開発委託先の責任（AI作成）

目次

第１　本記事の対象と結論１　対象２　結論３　基準日と資料第２　IDCフロンティアの公表から分かること１　公表の経過２　利用者側の公表の例３　公表資料だけでは分からないこと第３　クラウド事業者が個人データを取り扱うかで分かれる１　「取り扱わないこととなっている」場合２　取り扱わない場合でも報告義務は利用者にある３　取り扱う場合（委託）第４　報告対象事態に当たるか１　施行規則７条３号と「第三者の提供するサービス」２　漏えい，滅失及び毀損を分けて考える３　人数の要件４　報告対象とならない場合第５　期限，報告の方法及び本人への通知１　速報２　確報３　本人への通知４　クラウド事業者に求める情報第６　法律事務所と税理士事務所が利用者であるとき１　法律事務所２　税理士事務所第７　クラウド契約と事業者の責任１　免責・責任制限条項２　契約で確かめておく事項第８　平時に準備しておくこと第９　関連記事第１０　出典１　法令・会規２　個人情報保護委員会の資料３　事業者の公表資料４　裁判例（裁判所HP掲載）５　裁判例（判例秘書で確認）
第１　本記事の対象と結論
１　対象

令和８年１０月７日，クラウドサービス「IDCFクラウド」の一部がランサムウェア攻撃を受け，契約する４９５の企業や自治体に影響が出たことが公表された。
自社のサーバーではなく，利用しているクラウド事業者が攻撃を受けた場合に，利用者である企業，自治体，法律事務所及び税理士事務所が個人情報保護委員会への報告と本人への通知をしなければならないかが問題になる。

本記事は，この問題を，個人情報保護法２６条，同法施行規則７条から１０条まで，個人情報保護委員会の通則編ガイドライン及びQ&Aに沿って整理する。
クラウド事業者の公表資料は，事案の説明のための素材として用いる。
特定の利用者に報告義務があるかどうかを判断するものではない。

２　結論

① クラウド事業者が利用者の個人データを取り扱わないこととなっている場合でも，報告義務を負うのは利用者である（Q&A６－２２）。
クラウド事業者は法２６条１項の報告義務を負わないが，契約等に基づいて利用者に通知する等の対応を求められる。
② クラウド事業者が個人データを取り扱う場合（委託）は，委託元と委託先の双方が原則として報告義務を負う。
③ 施行規則７条３号の「不正の目的をもって行われたおそれがある当該個人情報取扱事業者に対する行為」には，利用者が使っているサービスの提供者に対する行為も含まれる（ガイドライン３－５－３－１）。
クラウド事業者へのランサムウェア攻撃は，この類型に当たり得る。
④ ３号の事態には人数の要件がない。
本人が１人でも，個人データの漏えい，滅失又は毀損が発生し，又は発生したおそれがあれば，報告対象となる。
⑤ ランサムウェアで暗号化され復元できなくなった個人データは「毀損」に当たる。
ただし，同じデータが他に保管されている場合は毀損に当たらない（ガイドライン３－５－１－４）。
利用者が自ら持つバックアップの有無が，報告対象事態に当たるかどうかを左右する。
⑥ 確報の期限は，３号の事態では，知った日を１日目として６０日以内である。
速報の目安は，知った時点から概ね３～５日以内である。

３　基準日と資料

本記事は，令和８年１０月１０日時点で，e-Gov法令検索で取得した個人情報保護法及び同法施行規則の現行条文，個人情報保護委員会の通則編ガイドライン（令和８年６月一部改正版）並びにQ&A（令和７年７月１日更新版）に基づく。
IDCフロンティアの事案は，同社が令和８年１０月７日から９日までに公表した第１報から第４報までの内容による。
侵入経路，データの窃取の有無，影響を受けた利用者の内訳等は，同日時点では公表されていない。

第２　IDCフロンティアの公表から分かること
１　公表の経過
公表主な内容第１報（令和８年１０月７日）同日午前３時４０分頃から，IDCFクラウドの一部のシステムに対する第三者からの不正アクセスにより，東日本第１リージョンで障害が発生した第２報（同日）障害は第三者からのランサムウェア攻撃によるものと判明した。影響範囲は「IDCFクラウドを契約している495の企業や自治体」。東日本リージョン１をネットワークから遮断してシステムを停止し，他のリージョンの管理コンソールも停止した第３報（同月８日）東日本リージョン１の一部（４つのゾーン）で仮想サーバーが停止し，再起動できない。保管されている顧客データは「取り出しや復元が困難な見通し」で，同社の見解では「データの復元はお客さま自身が保持しているバックアップデータからのみ可能」。監督省庁及び警視庁へ報告した第４報（同月９日）１０月７日午前９時に緊急対策本部を設置し，親会社と連携してバックアップ手順の案内，移行環境の提案，仮想サーバーの起動・停止の代行等を行っている

第３報は，IDCFクラウドの別の型のサービス（TypeS）とプライベートクラウドは対象外であるとしている。

２　利用者側の公表の例

（続きを読む...）クラウド事業者がランサムウェア被害を受けたとき，利用者に漏えい等報告義務はあるか―施行規則７条３号，滅失・毀損とバックアップ（AI作成）

目次

第１　本記事の対象と資料の位置付け１　令和８年１０月７日の個人情報保護委員会資料２　法的な拘束力と例示の区別第２　現行法と技術的安全管理措置の見直し予定１　法２２条から２５条までを一体で見る２　現行の４項目と将来の第５項目第３　不正アクセス９類型と対策１　脆弱性が放置された事例２　脆弱性への対応が遅れた事例３　不正ログインの事例４　グループ会社や海外拠点が狙われた事例５　グループ会社間のアクセス制御不備６　個人領域に保存したデータの漏えい７　グループ会社への監督が不十分な事例８　利用するクラウドサービスからの漏えい９　APIが悪用される事例第４　弁護士・司法書士・税理士実務への落とし込み１　共通の台帳を五つに分ける２　弁護士実務３　司法書士実務４　税理士実務５　委託契約と事故対応第５　後日の事実認定と一次資料の使い方１　確認済み・技術上可能・不明を分ける２　行政資料と裁判例の射程を分ける第６　関連記事第７　出典
第１　本記事の対象と資料の位置付け
１　令和８年１０月７日の個人情報保護委員会資料

個人情報保護委員会は，令和８年１０月７日の第３７１回会合で，「大規模な漏えい等事案を踏まえた対応について（注意喚起）」と改訂版「WARNING～不正アクセスによる個人データ漏えい防止のための注意喚起～」を公表した。
後者は，委員会に報告された不正アクセス事案の問題を９類型に整理し，原因と対策例を示している。

本記事は，この９類型を，一般企業だけでなく，弁護士，司法書士及び税理士の事務所で使える点検項目に置き換えるものである。
令和８年１０月１６日時点の公表資料に基づき，個別のシステムを安全と判定するものではない。

２　法的な拘束力と例示の区別

個人情報保護委員会の注意喚起は，法２３条の安全管理措置を具体化する際の重要な行政資料であるが，資料に並ぶ全ての技術を全事業者に一律に義務付けるものではない。
「講じなければならない措置」と「手法の例示」を分け，事業の規模・性質，データの性質・量，リスク及び当時の技術水準に即して必要かつ適切な方法を選ぶ必要がある。

第２　現行法と技術的安全管理措置の見直し予定
１　法２２条から２５条までを一体で見る

個人情報保護法２２条は，個人データを正確かつ最新の内容に保つとともに，利用する必要がなくなったときの遅滞ない消去について努力義務を定める。
同法２３条の安全管理措置，２４条の従業者の監督及び２５条の委託先の監督は，保有するデータと関係者を抽象的に管理するのではなく，資産台帳，保存場所，アクセス権限，委託関係及び消去時期に落とす必要がある。

２　現行の４項目と将来の第５項目

令和８年１０月時点のガイドライン通則編は，技術的安全管理措置の「講じなければならない措置」を，①アクセス制御，②アクセス者の識別と認証，③外部からの不正アクセス等の防止，④情報システムの使用に伴う漏えい等の防止としている。

同委員会の令和８年１０月７日の注意喚起は，見直し内容の確定を令和９年４月に予定していると説明し，その予定内容を先取りする形で，⑤不正アクセス等の検知等を示している。
この時点で示された予定を，令和９年４月からの適用開始が確定したとの説明に置き換えない。
認証ログ，アクセスログ，操作ログ及び通信ログの保存・保護・定期分析，IDS/IPSやEDR等による早期検知，侵害システムの停止・隔離及びアカウント無効化が例示されているが，確定前の見直し予定と現行ガイドラインを混同してはならない。

第３　不正アクセス９類型と対策
１　脆弱性が放置された事例

システム導入の契約だけで保守契約がない，保守契約に脆弱性対応が含まれない，又は対応の役割分担が未定であると，公開された脆弱性と修正情報があっても対応が止まる。
貸与品を含むIT資産の棚卸し，脆弱性情報の収集・分析，対処者と期限，終了確認までを一つのプロセスとして決める必要がある。

ウェブサイトでは，WordPress等のCMS本体，テーマ及びプラグインだけでなく，PHP，OS及び関連ライブラリも管理対象として確認する。
CMS側に更新がないことだけで，実行基盤の脆弱性への対応まで不要と判断することはできない。
令和８年１０月２１日のPHP公式告知は，認証不要の遠隔コード実行につながり得る２件の脆弱性について修正版を示しており，CMSと実行基盤の更新担当を分けて把握する具体例となる。
これはPHPの開発側による技術的な告知であり，特定のサイトの侵害や管理者の過失を認定した資料ではない。
出典：PHP「News Archive - 2026」。
https://www.php.net/archive/2026.php

（続きを読む...）個人情報保護委員会が示した不正アクセス９類型―API，クラウド，グループ会社，個人領域及びログ管理（AI作成）

目次第１　施行前に決めておく情報管理の基本第２　最初に情報の種類を分ける１　犯罪事実確認記録等２　本人から別に取得する情報と被害申告の記録第３　本人への事前通知と訂正・開示の違い１　該当する結果は事業者への交付前に通知される２　事業者から本人への開示は別の問題である第４　内部共有と外部提供を分ける１　同一事業者内でも必要な担当者に限る２　目的外利用・第三者提供の例外は法定されている第５　保護者や派遣元には何を説明できるか１　保護者への説明２　派遣元への連絡第６　保存場所，廃棄・消去期限と証拠の扱い１　保存場所と取扱記録２　５年保存が一律の義務ではない３　労務紛争の証拠保存とは区別する４　情報管理規程のひな型はどれを選ぶか第７　漏えい等が起きた場合の初動第８　準備の確認項目と参照資料１　実務で確認する項目２　参照資料
第１　施行前に決めておく情報管理の基本

日本版DBSを含むこども性暴力防止法は，令和８年１２月２５日に施行される。
本記事は，同年１０月８日現在公表されている法令，９月改訂ガイドライン，９月２９日更新のQ&A及び１０月１日付け監督等指針に基づき，施行後の情報管理を準備するための説明である。
犯罪事実確認が必要な事業者・業務の範囲や現職者の確認時期は別に確認する必要があり，すべての企業がすべての従業員の前科を調べられる制度ではない。

制度全体の対象事業者，対象従事者，主な義務及び施行準備は，こども性暴力防止法とは―日本版DBSの対象・義務・令和８年１２月２５日の施行準備を参照されたい。
こどもの安全確保と従事者の情報保護を両立させるには，誰が確認結果を見るか，誰に何を説明するか，いつ消去するかを先に決める必要がある。
「本人が同意した」「顧問弁護士へ相談する」「保護者が求めた」という事情だけで，犯罪事実確認記録を外部へ提供できるわけではない。

弁護士の役割と被害申告時の聴き取りは，こども性暴力防止法の施行と弁護士の役割も参照されたい。

犯罪事実確認の対象となる罪と期間，申請から確認書の交付までの流れは，こども性暴力防止法の犯罪事実確認とは―対象となる性犯罪・２０年と１０年の期間・確認の流れと事前通知で説明している。
本記事は，確認書を受け取った後の記録の扱いを中心に説明する。

第２　最初に情報の種類を分ける
１　犯罪事実確認記録等

犯罪事実確認記録等には，犯罪事実確認書そのものだけでなく，そこに記載された情報を転記した記録も含まれる。
特定性犯罪事実の「有・無」だけを人事台帳に記載したものや，確認結果を直接うかがわせる記録にも，同じ制限が及ぶ。
該当する性犯罪歴が「ない」という結果も保護対象であり，確認書を捨ててチェック欄だけ残せばよいという扱いはできない。
対象期間内の特定性犯罪についての制度であって，不起訴，示談，あらゆる犯罪歴を一括して照会する制度ではない。

２　本人から別に取得する情報と被害申告の記録

特定性犯罪事実該当者であると分かった後，事業者が本人との面談等により別に取得する，過去の性犯罪の詳しい事情等は，ガイドライン上「特定性犯罪事実関連情報」と整理される。
この情報には確認記録等の目的外利用・第三者提供禁止規定が直接適用されないが，要配慮個人情報として個人情報保護法上の取得・提供等のルールを確認し，確認記録等に準じた厳格な管理を行う必要がある。
確認書の転記を「面談記録」と呼び替えて，この区別を利用することはできない。

こどもの被害申告，聴取記録，医療情報等についても，取得経緯，内容，利用目的及び法的根拠をそれぞれ確認する。
これらがすべて同じ種類の情報になるわけではないが，被害を受けた事実や医療情報など，要配慮個人情報に該当する内容が含まれ得る。
確認結果の管理規程だけで，こどもの聴き取りや支援に必要な情報管理を済ませないことが重要である。

第３　本人への事前通知と訂正・開示の違い
１　該当する結果は事業者への交付前に通知される

特定性犯罪事実該当者に該当する結果である場合，こども家庭庁は，事業者へ確認書を交付する前に本人へ記載内容を通知する。
通知内容が事実でないと思う本人は，通知を受けた日から２週間以内に訂正請求をすることができる。
事業者への交付は，この期間を経過するまで行われず，期間内に訂正請求があれば，その決定の通知まで行われない（法３５条５項，３７条）。
本人への連絡方法を確実にし，事前通知が来た場合の相談先と期限を説明しておくことが実務上有用である。

（続きを読む...）日本版DBSの犯罪事実確認記録をどう扱うか―本人通知・訂正、保護者への説明、内部共有と保存・廃棄（AI作成）

目次第１　この記事の対象１　問題になる勧誘の流れ２　相談件数と契約金額第２　どの取引に当たるかで救済が変わる１　電話勧誘販売２　業務提供誘引販売取引３　通信販売にとどまる場合第３　契約をやめる方法１　クーリング・オフ２　特定商取引法による取消し３　消費者契約法による取消し４　不法行為による損害賠償第４　支払方法ごとの対応１　クレジットで支払った場合２　借入れを勧められた場合第５　勧誘の場で出てくる言葉と法律上の位置付け第６　証拠の残し方と相談先第７　法改正の動き第８　関連記事第９　出典１　法令２　裁判例３　行政処分・注意喚起４　所管行政機関等の解説・資料
第１　この記事の対象
１　問題になる勧誘の流れ

生成AIの新しいモデルが公表されるたびに，「このAIを使えば副業で稼げる」と紹介する動画や広告が公開され，その中には，公式LINEへの登録，特典資料の受取り，無料の個別相談会への参加を呼びかけるものがある。
無料の相談会や資料の配布そのものは違法ではない。
しかし，国民生活センターや消費者庁の公表資料には，無料又は安価な入口から始まり，Web会議での個別説明を経て，数十万円から数百万円の講座，サポート契約又はコンサルティング契約へ進む相談や処分の例が多数載っている。

国民生活センターの調査報告「消費生活センターにおける解決困難事例の研究～起業・副業をめぐる消費者トラブルの被害救済を中心に～」（令和５年３月２２日）は，副業サポート契約の相談事例について，「当初、安価な情報商材等を購入し、その後、不意に電話勧誘が始まり、高額な副業のサポートに関する契約を勧められる例が目立ちました。」としている。
本記事は，令和８年１０月１日時点の公開資料に基づき，このような流れで契約した人が，どの法律でどのように契約をやめ，支払ったお金を取り戻せるかを整理するものである。
AIを使って請け負う副業そのものの法律問題（著作権，素材の利用規約，フリーランス法等）は，パソコンを操作するAIで動画・ゲーム・3Dモデルを請け負う副業の法律問題で扱う。

２　相談件数と契約金額

国民生活センター「ビジネス講座のトラブルにご注意－広告・勧誘と実際の講座内容が異なる、Web会議での思わぬ勧誘に気をつけましょう－」（令和８年９月１６日）は，AI講座を含む「ビジネス講座」の相談件数と平均契約購入金額を次のとおり示している（PIO-NETの令和８年７月３１日までの登録分）。

年度相談件数通信販売の平均契約購入金額電話勧誘販売（Web会議での勧誘を含む）の平均契約購入金額2020年度1,169件44万円60万円2021年度1,831件47万円69万円2022年度2,106件59万円84万円2023年度2,510件57万円88万円2024年度2,682件64万円99万円2025年度3,551件64万円87万円2026年度（7月31日まで）1,121件48万円79万円

同じ資料は，「近年はSNS広告で知った事業者からWeb会議サービス等を利用して勧誘を受け契約したケースに関する相談が見られます。このようなケースは特定商取引法における電話勧誘販売に該当する場合があります。」としている。
紹介されている事例には，「AIを使って副業で稼ぐ」というSNS広告から安価な情報商材を買い，上位プランを勧められ，Web会議での説明で「講座代は１、２カ月ですぐに取り戻せる」と言われて約８０万円の講座を個別クレジットで契約したもの，副業の面接と思って参加したWeb会議で講座の契約を勧められ，後に「事業者間契約だから解約はできない」と言われたもの等がある。

第２　どの取引に当たるかで救済が変わる
１　電話勧誘販売
(1)　Web会議は「電話」に当たる

特定商取引法２条３項は，電話勧誘販売を，販売業者又は役務提供事業者が「電話をかけ又は政令で定める方法により電話をかけさせ、その電話において行う売買契約又は役務提供契約の締結についての勧誘」により，郵便等で申込みを受け，又は契約を締結して行う販売又は役務の提供と定めている。
消費者庁の通達「特定商取引に関する法律等の施行について」（令和６年１１月１９日）は，同項の「電話」について，インターネット回線を使って通話する形式（映像を伴う場合を含む。）を用いた場合も「電話」に当たるとしている。
同庁の「電話勧誘販売の解釈に関するQ＆A」Q5は，事業者がWeb会議のURLを送った場合は「電話をかけ」に当たると説明している。

(2)　消費者から接続した場合

消費者が自分から相談会に申し込んだ場合でも，それだけで電話勧誘販売から外れるわけではない。
特定商取引法施行令２条１号は，電話，電磁的方法，ウェブページ等を利用して，契約の締結について勧誘をするためのものであることを告げずに電話をかけることを要請することを，「電話をかけさせ」る方法として定めている。
同じQ＆AのQ5は，情報商材の購入後にSNSで相談し，Web会議で別の商材を勧誘された事例について，消費者から依頼した場合でも通常は適用除外（同法２６条７項１号）に当たらず，クーリング・オフができるとしている。

(3)　Web会議の勧誘を電話勧誘販売とした処分例

消費者庁は，令和６年９月，Web会議ツールを用いたオンラインのコンサルティングに参加するためのURLをメール等で送信して電話をかけたとして，営業スキルの教材と研修を販売していた事業者を電話勧誘販売と認定し，「契約後のクーリング・オフできませんよ」等の不実告知（同法２１条１項）や書面の不交付（同法１９条１項）を理由に業務停止命令等をした（消費者庁の公表資料（令和６年９月５日））。
令和７年１２月には，関東経済産業局が，ＳＮＳ運用及びＡＩを活用したビジネスのスキル習得に係る動画コンテンツとサポートサービスを提供するオンラインスクール事業者について，ＳＮＳ等で無料のコンサルティングをうたって申し込んだ消費者にウェブ会議のＵＲＬを送付する方法で電話をかけていると認定し，指示処分をした（消費者庁の公表資料（令和７年１２月２５日））。
この事案では，月収が多くても５万円程度の１８歳の消費者に消費者金融からの借入れを勧めて支払総額約７７万円の契約を締結させたことが，消費者の知識，経験及び財産の状況に照らして不適当な勧誘（同法２２条１項５号，同法施行規則６４条３号）とされている。

２　業務提供誘引販売取引

「講座を受ければ仕事を紹介する」「サポート契約をすれば案件を回す」と言われて契約した場合は，業務提供誘引販売取引に当たることがある。

（続きを読む...）「AIで稼げる」副業の勧誘と契約トラブル―無料相談会・Web会議での勧誘，クーリング・オフ，取消し及び借入れの勧め（AI作成）

目次第１　対象と結論第２　消費者契約法９条と損害の区分第３　神戸地裁・大阪高裁判決の公表要旨１　計算の枠組み２　１年以上前の解約と実績資料第４　BIA改訂モデル約款の使い方第５　相談・交渉で確認する資料第６　関連記事と資料の限界第７　出典
第１　対象と結論

結婚式場の解約料を検討するとき、「挙式日まで長いから逸失利益はない」「業界のモデル約款より高いから無効」といった一つの事情だけでは結論を出せない。消費者契約法９条１項１号が問題にするのは、解除の事由・時期等の区分に応じ、同種の契約の解除に伴い当該事業者に生ずべき平均的な損害である。再販率、粗利率、解約時見積額、既手配費用を、同じ区分に対応させて検討する必要がある。

本記事は、消費者庁の公表する神戸地裁令和７年４月２４日判決及び大阪高裁令和８年４月２３日判決の紹介文と、公益社団法人日本ブライダル文化振興協会（BIA）の改訂モデル約款を扱う。両判決の全文は本記事の作成時に確認していないため、公表要旨を超える判示、訴訟で提出された資料の内容や上訴後の確定状況は断定しない。

第２　消費者契約法９条と損害の区分

同法９条１項１号は、解約料等の合計が、条項に設定された解除の事由・時期等の区分に応じた平均的な損害を超えるとき、超える部分を無効とする。消費者庁の逐条解説は、平均値を事業者ごとに捉え、業界全体の水準とは区別している。

挙式予定日までの日数だけでなく、解約の意思表示がいつ相手方へ届いたか、約款上の時期区分、別途手配済みの商品・役務、同じ日時・会場の再予約の可能性を確かめる。申込金が解約料へ充当されるか、実費が加算されるかも約款で確認する。

第３　神戸地裁・大阪高裁判決の公表要旨
１　計算の枠組み

消費者庁の神戸地裁判決紹介によれば、同裁判所は、解約に伴う逸失利益に再販売による利益と支出を免れた費用を反映し、解除時見積額の平均×粗利率×非再販率という計算式を示した。この式は公表された当該事件の判断であり、あらゆる式場について同じ入力値又は同じ損害額を認めるものではない。神戸地裁は差止請求を棄却した。

２　１年以上前の解約と実績資料

消費者庁の大阪高裁判決紹介によれば、同高裁は令和８年４月２３日、過去５年間の早期解約に関する再販・非再販実績から再販できなかったものが一定数あったことを重視し、「１年以上前だから逸失利益は生じない」とする主張を採用せず、第一審を維持して控訴を棄却した。また、役務等ごとの積算がされた見積額を損害算定の基礎とし得るとした。早い時期の解約ほど再販されやすい傾向は考慮しつつ、再販率が時期に機械的に比例するわけではないとして、時期区分の設け方も検討した。

この訴訟は適格消費者団体による条項の差止請求である。個別の利用者が負担する額を自動的に確定する判決ではない。早期解約で常に逸失利益が発生するとの一般命題にも、式場側の主張が常に通るとの一般命題にも読み替えない。

第４　BIA改訂モデル約款の使い方

BIAの改訂モデル約款は、365日前までの解約料を「申込金の25％又は３万円の低い額」、364日前から180日前までを「申込金の50％及び別表の商品代金」とする例を載せる。同資料自身が、モデルの数値を各事業者の料率とは区別し、各事業者が自ら算出した平均的損害を根拠に具体的な額と期間を定めるよう求めている。モデルの金額は法定上限ではない。

同資料は、想定利益に非再販率を乗じ、既に発注・手配した商品等の実費を加える考え方を示す。相談時には、モデル表と対象式場の約款を並べるだけで終えず、対象式場の区分別実績と費目の中身を確かめる。通常の営業経費、解約により支出を免れた費用、既に発生した実費を重複計上しないことも必要である。

第５　相談・交渉で確認する資料

契約書、申込書、約款、申込金の領収記録と説明資料。
挙式予定日、解約意思表示の到達日、約款の時期区分。
初回・変更後・解約時の見積書と、人数・商品・役務の変更履歴。
同種契約の範囲、同一日時・会場の時期別再販率、実績の対象期間及び除外事由。
粗利率の計算に含めた原価・経費、解約で不要となった支出、既手配品の発注日と取消条件。

これらは争点整理の確認事項であり、式場にすべての資料を当然に開示させられるという意味ではない。同法９条２項は、消費者から求められたときの算定根拠の概要の説明努力義務を定める。個別の開示方法と証拠収集は、契約関係と手続段階に応じて検討する。

第６　関連記事と資料の限界

契約の成立、旧来の裁判例、特定商取引法との関係は、結婚式場のキャンセル料はどこまで払う必要があるかで整理している。

本記事は公開資料から一般的な検討順序を示すものであり、特定の利用者・式場の交渉経過を扱わない。判決の全文、提出証拠、上訴・確定状況は未確認である。今後、判決本文を入手した場合には、公表要旨と照合する必要がある。

第７　出典

（続きを読む...）結婚式場の解約料で再販率をどう確かめるか―大阪高裁令和８年４月２３日判決の公表要旨とBIAモデル約款（AI作成）