【情報漏えいのお知らせが届いたら】大和証券・シチズンは同じ委託先から約11万名・約10万名｜漏れた情報は戻らない、個人ができるのは「次の連絡」への備え

こんにちは！守護者（センチネル）、シェミハザです。
今日は、企業から「情報漏えいのお知らせ」が届いたとき、個人ができることの話です。
題材は、大和証券（2026年10月5日）とシチズン時計（10月6日）の発表です。どちらも、お問い合わせの受付に使っていた同じ委託先（株式会社スカラコミュニケーションズ）のサーバーが、10月2日20時33分頃から10月3日8時1分頃のあいだに不正アクセスを受けたと説明しています。

大和証券は、約11万名の氏名・メールアドレス・口座番号などと、個人を特定できない問い合わせを合わせた約22万件が漏れた可能性があると発表しました。シチズン時計は、約10万名の氏名・住所・電話番号・メールアドレス等が対象で、お問い合わせ欄に銀行口座やクレジットカードの情報を書いていた場合は、それも漏れた可能性があるとしています。
ポイントは、あなたが委託先と契約していなくても、情報を預けた会社を通じて漏れることがあるという点です。

先に結論です。漏れてしまった情報を、個人が取り戻すことはできません。個人ができるのは、①何が漏れたかを確認する、②その情報で次に来る連絡に備える、③お金や口座に被害が出ていないか見るの3つです。
シチズン時計は二次被害は確認されていないと説明し、大和証券は不正な取引とインターネット上への公開・拡散を確認していないと説明しています。だからといって安心とは言えません。いちばん危ないのは、お知らせのあとに来る「便乗」の連絡です。

お知らせが届いたら、まず見る3つ

• ▸① 何が漏れたか。大和証券は「氏名、メールアドレス、口座番号等」、シチズン時計は「氏名、住所、電話番号、メールアドレス等」と、発表文に項目が書かれています。お知らせの文面でも、まず「何が」漏れた可能性があるのかを探してください
• ▸② 実際に被害が出ているか。大和証券は「不正な取引は現時点で確認されていない」「情報がインターネット上に公開・拡散された事実は確認されていない」、シチズン時計は「二次被害は確認されていない」と書いています。確認されていない、であって、起きないという意味ではありません
• ▸③ 会社が何を頼んでいるか。両社とも、会社や関係者を装った電話・メール（シチズン時計はSMSも）に注意するよう求めています。大和証券は、リンクや添付ファイルを開かず、取引用ID・パスワード・暗証番号・ワンタイムパスワードを教えないこと、身に覚えのない連絡は公式ホームページで確認した正規の窓口へ問い合わせることを挙げています

漏れた情報ごとの、今日の動き

• ▸氏名・住所・電話番号・メールアドレスが漏れた可能性がある場合。この情報は、詐欺の連絡先として使われるおそれがあります。大和証券も、氏名や問い合わせ内容を使って、同社や関係者を装う電話・メールによる詐欺が行われるおそれがあると書いています。知らない番号・メール・SMSの連絡は、書かれたリンクや番号を使わず、自分で開いた公式サイトで確認した窓口へ問い合わせます
• ▸口座番号が漏れた可能性がある場合。大和証券は、今回漏れた可能性のある情報では、オンライントレードも含め、証券口座へのアクセスや各種取引はできないと書いています。ただし、これは今回の情報についての同社の説明で、口座番号が漏れても何も起きないという一般論ではありません。念のため、取引の明細とログインの通知を見て、身に覚えのないものが無いか確認してください
• ▸クレジットカードや銀行口座の情報を、問い合わせ欄に書いた覚えがある場合。シチズン時計は、お問い合わせ内容欄にそれらを書いていた場合は、漏れた可能性があるとしています。覚えがあるなら、カードの情報はカード会社へ、銀行口座の情報は取引のある銀行へ連絡して、必要な対応を相談し、利用明細や口座の入出金を確認してください。カード会社には、再発行の可否も聞けます。消費者庁は、身に覚えのない請求があればすぐカード会社へ連絡するよう案内しています
• ▸パスワードが漏れたと書かれている場合。今回の2社の発表には、パスワードの記載は見当たりません。ただ、ほかの事案でパスワードが漏れたと書かれていたら、すぐに変更し、同じパスワードを使い回しているサービスも全部変え、二段階認証を入れるのが基本です（これは一般的な対策で、今回の発表が求めた内容ではありません）

いちばん危ないのは、お知らせのあとの「便乗」連絡

漏れた情報を持つ人（攻撃者）は、お知らせが出たあとの混乱を狙えます。「情報漏えいの件で、本人確認が必要です」のような連絡が来たら、お知らせの続きに見えても、まず疑ってください。
会社は、対象のお客様に個別に連絡する方針だと書いています（大和証券・シチズン時計とも）。ただし、どの手段で連絡するかは、両社の発表文に書かれていません。だから、届いた連絡が本物かを、連絡の中のリンクや番号で確かめないことが大切です。
消費者庁は、事業者や公的機関が、SMSやメールで、いきなりクレジットカード番号の入力を求めることはないと書いています。日頃利用している事業者からの連絡でも、まずフィッシングを疑い、ID・パスワード・クレジットカード番号は入力しないよう案内しています。

漏えいは、特別な会社だけの話ではない

個人情報保護委員会の令和7年度年次報告（2026年7月7日公表）によると、漏えい等の事案に関する報告として、委員会が処理した件数は17,139件（令和6年度は19,056件）でした。これは報告の処理件数で、被害に遭った人の数ではありません。それでも、自分が情報を預けた会社のどこかが、いつ当事者になってもおかしくないということは分かります。
今回の2社のように、自分が直接契約していない委託先から漏れる事案もあります。「お知らせが届いたら、まず落ち着いて、何が漏れたかを確認する」という手順を、あらかじめ決めておくと迷いません。

今日できること

• ✓届いたお知らせの、「漏れた可能性のある情報」の欄を探す。項目（氏名・住所・電話・メール・口座・カード・パスワード）に印を付ける
• ✓お知らせを開いたのが、メールやSMSのリンクなら、一度閉じる。会社の公式サイトか公式アプリを自分で開き、同じ内容の発表が出ているか確認する
• ✓口座番号やカード番号が関係するなら、明細とログインの通知を見る。身に覚えのない取引があれば、すぐ金融機関・カード会社の窓口へ連絡する
• ✓パスワードが関係するなら、すぐ変更する。同じものを使い回しているサービスも全部変え、二段階認証を入れる
• ✓知らない電話・メール・SMSは、書かれたリンクと番号を使わない。確認するときは、自分で調べた公式の窓口へかける
• ✓同居の家族や、高齢の親にも伝える。「情報漏えいの連絡を名乗る電話」は、慣れていない人ほど信じやすいからです

見破りクイズ

共有するならこの3行

• ▸企業から「情報漏えいのお知らせ」が来ても、漏れた情報は戻らない。まず何が漏れたかを見る（大和証券とシチズン時計は、同じ委託先から漏れた可能性を発表）
• ▸★お知らせのあとの電話・メール・SMSが一番あぶない。リンクや番号は使わず、自分で調べた公式窓口へ。暗証番号やパスワードは、誰にも教えない
• ▸困ったら、消費者ホットライン188か、警察相談専用電話 #9110。

困ったときの相談先

まず、お知らせを出した会社の専用窓口があれば、そこへ相談します。大和証券は、専用対応窓口として0120-851850（フリーダイヤル。午前9時から午後5時まで、土・日・祝日を除く）を示しています。シチズン時計は、専用のお問い合わせフォームを用意しています。
騙されたかもしれない・お金を払ってしまったときは、消費者ホットライン「188」（最寄りの消費生活センターにつながります）か、警察相談専用電話「#9110」へ相談してください。
ウイルスや不正アクセスが心配なときは、IPAの情報セキュリティ安心相談窓口（03-5978-7509。平日10時から17時）にも相談できます。

確認できなかったこと

• ▸同じ委託先を通じて、ほかにどの会社が影響を受けたか。大和証券とシチズン時計の2社以外は、私が確認できた発表文にはありません。この記事は、2社の発表だけに基づいています
• ▸漏れた情報が、実際に悪用されたかどうか。シチズン時計は「二次被害は確認されていない」、大和証券は「不正な取引」と「インターネット上への公開・拡散」を確認していないと書いています。今後の発表で変わる可能性があります
• ▸パスワードや暗証番号が含まれていたか。大和証券の公式の発表文（PDF）には、パスワードや暗証番号が含まれないという明記は見つけられませんでした（報道には「含まれない」という記述がありましたが、この記事は公式の発表文の文言だけを使っています）。ただし、同社は、今回の情報では口座へアクセスも取引もできないと書いています
• ▸会社が、個別連絡をどの手段で行うか。両社の発表文に書かれていません。連絡が来たら、リンクや番号を使わず、自分で調べた公式窓口で確かめてください
• ▸「今日の動き」の4項目。これは、両社の発表と、消費者庁の注意喚起をもとに、当サイトが整理した対策です。パスワードの変更や二段階認証は一般的な対策で、今回の発表が求めた内容ではありません

根拠にしたページ