お詫び文は、会社が法律と調査結果に沿って、うそにならないように慎重に書いた文章です。だからこそ、言い切れないところは「確認されておりません」「現時点で」とぼかされます。ぼかされた部分を見つけるのが、この記事のゴールです。

あなたは、ある家に持ち物を預けています。会員登録で名前と住所を書いたのは、その家の住所録に載せてもらったということ。ログイン用のパスワードを決めたのは、鍵の型を預けたということ。ネットで買い物をしてカード番号を入力したのは、金庫の前で財布を開いたということです。

ある日、その家に空き巣が入りました。家主から手紙が届きます。

ほっとする前に、聞き返したいことがありませんか？

• ①範囲金庫以外の部屋は？　住所録や仕事部屋はどうだったの？
• ②確かさ金庫は開けて中まで確かめたの？　それとも、扉がしまっていたから無事だと思っているだけ？
• ③時点それはいつの話？　警察の調べが終わったあと？　それとも空き巣に気づいた直後？

お詫びメールも同じです。家のどこに何があり、どこまで調べたかで、意味がまったく変わります。

※厳密には、会社のデータは部屋ごとにきれいに分かれているわけではありません。最初の理解のためのたとえです。

お詫び文の「個人情報」「漏えい」は、たいてい個人情報保護法の言葉です。日常で使う意味と、少しずれています。

「個人情報」＝その人がだれか分かる情報

法律でいう個人情報は、ざっくり言うと「名前などから、特定のだれかだと分かる情報」です。名前そのものだけでなく、会社がふだんの仕事で名簿と照らし合わせれば、だれのものか分かる情報も含まれます。たとえば会員番号と購入履歴は、それだけ見ると名前がありません。でも会社の会員名簿と突き合わせれば、だれのものか分かります。そのため、ふつうは個人情報として扱われます。

「漏えい」「滅失」「毀損」は別の言葉

法律では、事故の種類を3つの言葉で分けています。

つまり、ランサムウェアの被害で「個人データが毀損しましたが、漏えいは確認されていません」という文は、法律の言葉としては成り立ちます。「家じゅうに南京錠をかけられて使えなくなったが、持ち出された証拠はまだない」という意味です。

数字で見る：会社や役所からの漏えい報告は、1日に約53件

出典：個人情報保護委員会「令和7年度 年次報告」第4節1(1)・2(1)。会社などの報告で一番多いのは、病院や薬局での書類の渡し間違いなど、要配慮個人情報の漏えい（61.9％）です。

お詫びのお知らせは、めずらしいものではありません。一生のうちに何度も受け取るものと考えて、読み方を身につけておく価値があります。

同じ一文でも、裏にある事情はいろいろです。よくあるパターンを7つに分けました。緑ほど安心寄り、赤に近いほど注意が必要です。

• 🟢 A. 盗まれたのは会社の書類だけだった調査の結果、持ち出されたのは設計図や社内資料など、人に関する情報を含まないものだった。見分け方：「調査の結果」「外部専門機関による調査」と書いてある。
• 🟢 B. 読めない形にしてあった漏れたデータが高度に暗号化されていて、鍵がないと読めなかった。法律でも、この場合は委員会への報告が要らないとされている。確かめたい点：鍵も一緒に盗まれていないか。
• 🟡 C. 「お客様の」に限った話だったお客様の情報は無事でも、従業員・取引先・問い合わせをした人の情報は別。見分け方：主語に「お客様の」「会員様の」がついている。
• 🟡 D. 南京錠をかけられただけ（いまのところ）ランサムウェアで暗号化され使えなくなった（毀損）が、持ち出しの証拠はまだない。注意：最近のランサムウェアは、暗号化の前にデータを盗み出し「公開するぞ」と脅す手口が多い。
• 🟡 E. 法律上の「個人情報」の外側が漏れた名前と結びつかない閲覧履歴やCookieなど（前章のⒷ）が漏れた。法律の言葉としては「個人情報の漏えいではない」と書ける。
• 🟠 F. まだ調べ終わっていない「現時点で確認されていない」。調査には数週間〜数か月かかる。後から「おそれ」「確認」に変わることがある（次章の実例）。
• 🟠 G. 調べようがなかった記録（ログ）が残っていなかったり消されていたりすると、「漏れた証拠」も「漏れていない証拠」も見つからない。この場合も文章は「確認されていない」になる。

金庫を持っていない家でも、財布は狙われる

ネット通販のお詫びでよく見るのが「当社ではクレジットカード情報を保持しておりません」という一文です。これは本当のことが多く、法律（割賦販売法）にもとづく業界のガイドラインでも、お店がカード情報を持たない「非保持化」が求められています。

ただし、それは「金庫を持っていない」という意味です。「玄関で財布を開いた瞬間に盗まれなかった」という意味ではありません。犯人がお店のサイトを改ざんして、決済画面を偽物にすり替えたり、入力した番号をこっそり送らせたりすると、お店が保存していなくてもカード番号は盗まれます。業界のガイドライン（クレジットカード・セキュリティガイドライン6.0版）も、「ECサイト改ざんによる不正画面への遷移」を注意すべき手口として挙げています。さらに、お店がカード情報を持っていないつもりで、実は自分のシステムを通していた（通過型）と、事故のあとで気づく例があることも書かれています。

2025年9月、アサヒグループホールディングスがランサムウェアの攻撃を受け、ビールなどの受注や出荷が止まりました。会社のお知らせが、どう変わっていったかを並べます。すべて会社の公式発表の言葉です。

1. 2025年9月29日第1報：サイバー攻撃によるシステム障害を公表「現時点で個人情報や顧客データなどの外部への流出は確認されていません」ものさし③「現時点で」と、②「確認されていません」の両方が入っている。
2. 10月3日第2報：ランサムウェアの攻撃を確認「情報漏えいの可能性を示す痕跡が確認されました。漏えいの可能性のあった内容や範囲については調査中です」「確認されていない」から「痕跡を確認」へ。まだ「可能性」。
3. 10月8日第3報「当社から流出した疑いのある情報をインターネット上で確認しました」犯人側がネットに出した、という段階。
4. 10月14日第4報「個人情報が流出した可能性のあることが分かりました」ここで初めて「個人情報」が主語になった。
5. 11月27日件数を公表：漏えいのおそれは約191.4万件内訳は、お客様相談室に問い合わせた人152.5万件、慶弔（お祝いやお悔やみ）の関係先11.4万件、従業員（退職者を含む）10.7万件、従業員の家族16.8万件。クレジットカード情報は含まれていない。
6. 2026年2月18日漏えいを確認したのは約11.5万件従業員（退職者を含む）5,117件と、取引先の役員・従業員など11万396件。インターネット上に公開された事実は確認していない、とした。
7. 2026年7月17日漏えいのおそれを228.9万件に修正「漏えいのおそれを完全には否定できないものについても漏えいのおそれがある範囲として取り扱うこととし」取引先の役員・個人事業主・従業員の約37.8万件を追加。二次被害は確認していない、とした。

3つのものさしで見直すと

第1報の「確認されていません」は、うそではありませんでした。攻撃の当日に、何が持ち出されたかまで分かるはずがないからです。大事なのは、第1報で安心しきらず、続報を見に行くことです。発表に時間がかかる理由は、「遅いのは、隠しているからではなかった」でくわしく分析しています。

お詫びのお知らせが何度も書き換わるのは、調べながら、決められた期限で報告しなければならないからです。

1. 気づく：システムが止まる、外部から連絡が来る、ネットに情報が出る。この時点では、何が起きたか分からないことが多い。
2. 第1報を出す：止まったサービスを知らせる。漏えいは「調査中」「現時点で確認されていない」と書くしかない。
3. 調べる：専門の会社が、記録（ログ）やパソコン・サーバーを調べる（フォレンジック調査）。数週間〜数か月かかる。
4. 個人情報保護委員会へ報告：一定の事故は、「おそれ」の段階でも報告が必要。速報はおおむね3〜5日以内、確報は30日以内（不正アクセスなど不正の目的の場合は60日以内）。
5. 本人へ知らせる：これがお詫びメールや封書。何が起きたか、どの項目か、原因、二次被害のおそれ、その他の参考事項を知らせる。
6. 続報・修正：調査が進むと、範囲や件数が増えたり減ったりする。「おそれ」と「確認」が分けて書かれることも。

昔と今で何が違う？

「おそれ」と書かれたお知らせが増えたのは、会社がだらしなくなったからではありません。確証がなくても早めに知らせるルールになったからです。逆に言えば、「おそれ」は「盗まれたと仮定して、念のため備えてください」という合図です。

お詫び文によく出る言い回しを、日常の言葉に直しました。安心寄りまだ分からない備えるすぐ動くの4段階で、確かさの目安を付けています。

法律（個人情報保護委員会のガイドライン）は、本人へ知らせる内容として5つの項目を挙げています。お詫びメールは、この5か所を探して読めば十分です。

②の「項目」がいちばん大事です。項目が分かれば、あなたがやることは自動的に決まります（9章の表）。

そのお詫びメール自体が、偽物かもしれない

漏えいのニュースは、詐欺師にとって絶好の口実です。本物のお詫びをまねた偽メールや、「あなたの個人情報が流出しています。削除しますので…」という電話が来ることがあります。個人情報保護委員会は、委員会から「委託を受けた」とかたり、個人情報の削除を持ちかける不審な電話について注意を呼びかけ、委員会が個人情報の削除を委託することはないとしています。

1. メールのリンクは押さず、公式サイトで確かめる
   検索やブックマークから会社のサイトを開き、同じお知らせがあるかを見る。本物でも、操作は公式サイトや公式アプリから。
2. 漏れた「持ち物」に合わせて、1つだけ動く
   お詫びメールの「項目」を見て、下の表の1手をやる。全部をやろうとしなくて大丈夫です。
3. 「確認されていない」なら、1か月後にもう一度見る
   お知らせのページをブックマークし、スマホのカレンダーに「◯◯の続報を見る」と入れておく。調査には数週間〜数か月かかります。

パスワードの使い回しがなぜ危ないかはパスワード使い回しの危険、カードの守り方はクレジットカードを守る7つの壁でくわしく解説しています。

個人情報・個人データ・個人関連情報

• 個人情報（個人情報保護法第2条第1項）：生存する個人に関する情報で、氏名・生年月日その他の記述等により特定の個人を識別できるもの（他の情報と容易に照合でき、それにより識別できるものを含む）、または個人識別符号を含むもの。ガイドライン通則編2-1は、特定の個人を識別できるメールアドレスの例として [email protected] を挙げる。「容易に照合」は、通常の業務における一般的な方法で照合できる状態をいい、他の事業者への照会を要するような場合は一般に当たらない。
• 個人データ：個人情報データベース等を構成する個人情報。漏えい等報告の対象は「個人データ」。
• 個人関連情報（同第2条第7項、ガイドライン2-8）：個人情報・仮名加工情報・匿名加工情報のいずれにも当たらない、生存する個人に関する情報。例としてCookie等の端末識別子を通じた閲覧履歴、購買履歴、位置情報、興味・関心の情報など。

漏えい等報告と本人通知（2022年4月施行）

• 定義（ガイドライン3-5-1）：漏えい＝外部への流出（第三者に閲覧されないうちに全て回収した場合は該当しない）。滅失＝内容が失われること。毀損＝意図しない形での変更、または内容を保ちつつ利用不能となること。
• 報告対象（法第26条第1項、施行規則第7条）：①要配慮個人情報 ②財産的被害が生じるおそれ（クレジットカード番号、送金・決済機能のIDとパスワードの組み合わせ等）③不正の目的によるおそれ（不正アクセス等）④本人の数が1,000人超。いずれも「おそれ」を含む。
• 「おそれ」（3-5-3-1）：その時点で判明している事実関係から個別に蓋然性を判断。不正アクセスによる窃取の痕跡、情報窃取型マルウェアの感染などが例。ランサムウェア等により暗号化され復元できなくなった場合も例示されている（毀損）。
• 例外：高度な暗号化その他の個人の権利利益を保護するために必要な措置を講じたものは報告不要。
• 期限：速報は知った後速やかに（おおむね3〜5日以内）、確報は知った日から30日以内（第3号＝不正の目的は60日以内）（3-5-3-3、3-5-3-4）。
• 本人通知（法第26条第2項、ガイドライン3-5-4-3）：概要、個人データの項目、原因、二次被害またはそのおそれの有無と内容、その他参考事項。本人への通知が困難な場合は、公表などの代替措置が認められる。

クレジットカード情報の「非保持化」

• 割賦販売法のセキュリティ義務の実務指針である「クレジットカード・セキュリティガイドライン」（クレジット取引セキュリティ対策協議会、6.0版・2025年3月）は、EC加盟店に非保持化またはPCI DSS準拠を求め、6.0版からシステムとWebサイトの「脆弱性対策」を追加した。
• 同ガイドラインは、加盟店のシステムを通過・処理される「通過型」で事故後に通過型であることを認識する事例があること（PDF34頁）、脆弱性対策の不備を原因とした漏えい事案が発生していること（PDF35頁）、ECサイト改ざんによる不正画面への遷移などでカード会員から直接カード情報を窃取する手口（PDF26頁）に触れている。
• つまり「非保持」の表明は、保存データからの漏えいリスクが低いことを意味するが、入力経路の改ざん（いわゆるWebスキミング）による窃取を否定するものではない。

「パスワードは暗号化して保存」の読み方

• 多くの場合、正確には暗号化ではなくハッシュ化（元に戻せない変換）。ソルト付きの低速なハッシュ関数（bcrypt、scrypt、Argon2など）なら総当たりのコストは高いが、ソルトなしの高速なハッシュでは、短い・よく使われるパスワードは辞書攻撃で割り出されやすい。
• お詫び文は方式まで書かないことが多いため、利用者側は「割り出される前提」でパスワードを変え、使い回し先も変えるのが安全。

統計（個人情報保護委員会「令和7年度 年次報告」）

• 個人情報取扱事業者等の漏えい等報告：17,139件（直接報告13,345件、委任先省庁経由3,794件）。類型は要配慮個人情報61.9％、不正の目的22.3％。1,000人以下93.6％、顧客情報83.9％、紙媒体のみ76.9％。
• 行政機関等の保有個人情報の漏えい等報告：2,278件（国248件、地方公共団体等2,030件）。