昨今情報漏洩の嵐に気を揉むセキュリティ担当者は多いのではないか。弊社にも相談が相次いでいるし、人事からは「不安だ」「どういう人がいれば守れるのか」「そもそもセキュリティが分からない」という話まで来ている。ここで一つ落ち着いて考えたいのが、セキュリティ担当であれ人事であれ「ユーザー」の一人でもあるため、いつ漏洩の被害者になるか分からないということだ。そして自分が被害者になると「提供側として何をすべきか、何をしたらユーザーからお怒りをもらうか」が分かる。
かくいう私も漏洩が直撃した。あまりに書くと結び付けられそうなので一例にするが
・ネットショップの仕組みを提供する会社（を使っている店）
・旅行予約サイト
・中古品の買取販売チェーン
などなど10社は超えていた。
これらサービスのパスワード変更などはもちろんとして、これを機に使っていないサイトやアプリをしっかり退会して削除しようと思い立った。
結果、心が折れた。
一応セキュリティ業界にいる私でも、10サイトぐらいで脱落したのだ。
時間として計10時間は超えたと思う。
あるサイトは退会フォームを見つけるのに30分程度かかったり、パスワードを変えたばかりなのにログイン出来ずイラついて放り投げたサービスもある。
一ユーザーとしてこの対応をしていて、「BtoB側、サービス提供側として忘れてはいけない視点」を改めて思い知らされた。
簡単に言えば「漏洩させられた側なのにこの作業を強制されて補償も無いというのは、正直腹立たしい」ということ。
言葉を選ばずストレートに言うなら「ふざけるな」だ。
ユーザーにこう思われるのが漏洩事故であり、特にセキュリティ業界人として許せなかったのが「漏洩後の対応」だ。
一般ユーザーとしてはそもそも「漏洩が許せない、漏洩するな」だと思うが、守ろうと思ったって全部が守れるわけがない。そんなことは業界人なら皆共通だと思う。
だからこそ「漏洩後の対応」が大事だ。この対応一つで大炎上に発展することになる。
通知メールのURLは「フィッシング疑い」で開けない。だからメールの文面が大事になる
メール本文のURLは開くなと、どこもかしこも言っている。私は10年以上開いていない。必要なら検索するのが当然だ。これはもう一般ユーザーの方でも耳に胼胝ができるぐらい聞いていることだと思う。
でも結局その場所は自分で見つけないといけないので、通知が来るたびに検索して探すところから始まる。この面倒さがまず一般ユーザーには相当なハードルだと思う。
会社の側から見れば、通知メールの文面は意外に大事だということになる。URLを見てもらえない（開けない）のだから、メールの本文だけで何が起きたのか、ユーザーが何をすればいいのかが分からなければ、そこで止まってしまう。
検索してすぐに出て来なければ「どうすればいいんだよ！」と思ってXなどSNSに苦情を書き込まれるわけだ。
同じような人がポストしていたらすぐに拡散される。
「どの店の話か」が書いていない通知では、何も変えられない
サプライチェーン攻撃とは良く言ったものだが、昨今の漏洩だとプラットフォーム側、委託されている側がやられて表に立っている大企業が晒されている。もちろん委託先を選んだ責任はあるわけだが、このプラットフォーム側の対応がずさんなケースが多い。
どことは言わないが、私にもとあるネットショップの仕組みを提供する会社から、漏洩の対象だという通知メールが届いた。ところがその通知にはどの店で買ったときの情報なのかが書かれていない。
これではどの店のパスワードを変えればいいのかも判断できないので、その日のうちに店舗名と漏れた項目を問い合わせた。
返事が来たのは期限にした日を過ぎてからで、中身は「個別に調べて順次メールで案内する」というものだった。つまり「何の回答も無かった」テンプレということだ。
しかも調べるのは問い合わせてきたメールアドレスだけで、ほかのアドレスを調べてほしければそのアドレスから問い合わせ直すように、とも書かれていた。通知が届いたのは会社のもう1つのアドレスの方だったので、念のため両方のアドレスから「調べてほしいのは通知が届いた方です」と聞き直した。
その後、その会社は最終報を出し、対象者への個別の連絡は完了しているとして、調査の報告はこれで最後だと締めた。
私が受け取ったのは「調べた結果、流出は確認されませんでした」という返事で、届いたのは通知が来ていない方のアドレス宛てだった。
どちらのアドレスを調べたのかは書かれていないし、最初の通知では「漏えいの対象であることが確認された方に送っている」と書いていたのに、この返事では「可能性が少しでもある人に先に送った」と説明が変わっていた。
通知が届いた方のアドレスから改めて送り直したが、まだ返事は無い。なのに最終報では連絡は完了していて、調査も最後だという。どこが終わっているか？テンプレ回答を返したら終わりなのか？
これでは企業としての信頼は失墜する。
テンプレートの回答は、問い合わせを無駄にする
別の予約サイトではパスワードを変えたのにログインできず、退会もできないまま問い合わせへの返事が来ない。退会処理にログインが必要→ログインできない→パスワード変更を強制される→変えたのにログインできない、というパターンで、結局は入れず退会できないまま、そのうち諦めることになる。
…むしろこれを狙っているのか？という仕様だ。
問い合わせをすること自体に壁があるのに、結論として満足な結果が返ってきた企業は今回1社もなかった。時間だけかかって満足な対応をする会社はほぼないんじゃないかと思うし、ユーザーからすれば「問い合わせをするだけ無駄」になっている。
企業側、サービス提供側としては、「漏洩したらテンプレートの回答をしない」が大事だと切に思った。
いまやAIで返信しているような会社も多いし、スカウトもテンプレートの嵐だが、謝罪だけは、問い合わせへの返信だけは、個別対応が必須だと思う。
事故の後の対応が良かった会社を表彰する「情報セキュリティ事故対応アワード」というものがあるが、今年5月の第11回で審査員の徳丸浩さんが「リリースの内容が完全にテンプレート化しており、新しい学びがない」と話している。審査で見られるのは、第一報までの速さと続報の頻度、原因・被害範囲・対応内容をどこまで書いたか、自分から公表したかだ。
つまり漏洩してしまったらまずは原因と何をやったかは必ず公表した方がいい。漏洩後の対応が丁寧なら別だが、テンプレートの謝罪と答えの無い問い合わせ窓口では「こんな対応されたんじゃ」となって当然だと思う。私も今回問い合わせたサイト群は二度と使いたくない。が、「プラットフォーム側」の場合、そこを使うかどうかを決めるのは企業側であり、ユーザーは何を使っているか知る由もない。
そうなると表に出ている企業名に「恨み」は載ってきてしまうので、根深い問題だ。だからこそしっかりと公表する、これに尽きると思う。
お詫びが0円では、ユーザーは納得しない
漏洩したら、とりあえず何かしらの補償は必要だ。ユーザーにとって後始末は相当に面倒で、私だってこの後始末に10時間以上かかっているので、時給に換算したら？と言いたくなる。
過去の例を並べるとこうなる。
- 2004年、Yahoo! BBの約451万件の流出で、ソフトバンクBBは情報流出の有無に関わらず全会員に500円相当の金券を送った
- 2014年、ベネッセの約2,895万件の流出で、漏えいが確認された人に500円分の金券（電子マネーギフトか図書カード）を用意した
- 2026年、GMOインターネットは被害を受けたサービスの今の利用者全員に、金銭的な被害の有無にかかわらず一律5,000円の見舞金を払うと発表した
- 2026年、タイムズカーは運転免許証などの画像が外部へ送られた痕跡がある人に、3,000円相当の現金か金券を渡すとしている
ユーザーとしては0円じゃさすがに納得するわけがないが、3,000円で納得がいかず訴訟というのもある。タイムズカーの件は集団訴訟の準備まで進んでいて、弁護士が10月26日に会見し、免許証などの画像が漏れた人で1人5万円を求めて年内の提訴を目指すと話している。
ちゃんと被害と影響を加味して考えないと、お詫びが逆なでになる。そもそも漏らさないことが大事だが、漏らした場合には影響を加味して、大きいものは全額補償も当然に検討しないといけない。
平時に決めておくのは、謝罪の仕方と公表の仕方
平時にここを決めておけと言うなら、まさに謝罪の仕方と公表の仕方だ。あとはもちろん監視の方法と穴探しの方法になるが、事故が起きてから決めようとすると、どこもテンプレートに逃げる。
そして通知メールの文面も意外に大事だ。URLはクリック「してはいけない」のだから、どの店やサービスの情報で何が漏れたのか、ユーザーは何をすればいいのかが本文だけで分かるように書いておく。問い合わせが来たらテンプレートではなく聞かれたことに答えるし、謝罪のサイトを先ほどの「ネットショップの仕組みを提供する会社」のようにしてはいけない。
特にセキュリティ感度の高いユーザーは漏らした事実よりも漏らした後の対応で会社を見ているので、もう二度と使わないと決められる前に決めておいてほしい。
出典：ソフトバンクBB「お客様情報流出問題に関する、現時点までの調査結果と今後の対策について」（2004/2/27）／INTERNET Watch（2004/2/27）／ベネッセコーポレーション「事故の概要」／GMOインターネット 第4報（2026/10/24）／パーク24 第5報（2026/10/23）／時事通信（2026/10/26）／マイナビTECH+「第11回情報セキュリティ事故対応アワード開催レポート」（2026/6/10）
著者：高田 祥
セキュリティ人材専門の採用コンサルタント。株式会社セコネ代表。
情報処理安全確保支援士（登録番号 第019946号）。上級個人情報保護士。個人情報保護監査人。CompTIA Security+。
セキュリティベンダー・事業会社のセキュリティ採用を、職種設計からスカウト・面接設計まで一貫して支援。採用業務でのAI活用に関する整備支援にも対応。
