委託先経由の情報漏えい6件を図解 預けたもの・漏れ方・公表までの日数

2026年9月から10月に、委託先や外部サービスの側で起きた情報漏えいの公表が続きました。委託元が公表した6件を、当事者の公式の発表で確かめ、何を預けていたか、どう漏れたか、件数の数え方、日数で並べます。

不正アクセスの入口別の整理は、10月7日〜9日の7件と9月末〜10月6日の12件にあります。この記事は、委託先・外部サービスが絡む件だけを取り出し、委託元が契約と運用で確かめることまでつなげます。

6件の一覧 預けたもの・型・件数

件数の単位と原因の言葉は、公表のとおりです(2026年10月12日確認)。スカラ i-ask は1件の事故ですが、利用企業の公表が5社あるため、委託元ごとに行を分けました。単位が違うので合計は出しません。

数え方の違いに注意が要ります。スカラと損保ジャパンとオリックス生命は、同じ人の複数回の問い合わせを重ねた延べ件数です。第一興商の約8,724,000件は、お客様情報 約8,631,000件(重複を約515,000件引いた後)と従業員情報 約93,000件の合計です。旭化成の公表には、メールアドレスなども対象になる人数が約4万4,000名と別に書かれています。

各事故の詳しい経緯は、スカラの5社比較、大和証券、シチズン時計、損保ジャパン、第一興商、旭化成セラピューティクス、練馬区、鴨川市の記事にあります。TOPPANの誤送付は、9月末から相次ぐ情報漏えい一覧に載せています。

漏れ方は4つの型 設定と誤送付は外から気づかれた

公表に書かれた原因で、6件を分けました。

自社の監視で気づいたのは1件、相手や利用者からの連絡は3件、公表に書かれていないのが2件です。設定の2件は、見える状態が続いた間、委託先が気づいていませんでした。鴨川市は約18時間、練馬区は7月14日〜27日です。

TOPPANの件は、不正アクセスではありません。公表では、手作業のドラッグ&ドロップの誤りと、送付前に中身を確認しなかったことが原因とされています。

委託先から委託元へ、公表までの日数

公表に両方の日付がある行だけを、編集部が日数にしました。短い長いだけで、対応の良し悪しは決められません。調査の時間が入るためです。

委託先が気づいてから、委託元が知るまでです。

練馬区の運営事業者は7月27日に設定を直しましたが、指定管理者への報告がありませんでした。区は8月31日の受講者の連絡で知りました。区は再発防止として、事故を直ちに区へ報告することを指定管理者に求めています。

委託元(か委託先自身)が知ってから、公表までです。

東武鉄道とオリックス生命は、スカラから報告を受けた日が公表に書かれていません。鴨川市は、9月9日の更新ページに最初の掲載日が書かれていません。損保ジャパンのTOPPANの件も、知らされた日が書かれていません。この3行は日数を出していません。

委託元が確かめる3つの点

個人情報保護委員会の資料「委託先を監督してますか?」は、個人データの委託先への提供にあたり、次の3点に留意するよう求めています。

1. 適切な委託先の選定: 委託先で適切な安全管理措置が確実に実施されていることを、事前に確認する。
2. 委託契約の締結: 安全管理措置の内容と、委託先の取扱状況を委託元が把握できる内容を契約に盛り込む。
3. 取扱状況の把握: 定期的な監査等で、契約に入れた内容の実施状況を把握する。再委託先にも同様の監督が必要。

同じ資料は、一般的な業務委託契約にはセキュリティの項目が含まれないことが多いので、確認して盛り込むよう書いています。

公表した委託元も、管理の見直しを挙げていました。

影響する人・会社、しない人・会社

• 影響する: 問い合わせフォーム、FAQ、会員サイト、アンケート、チャットなどを外部のサービスや業者に預けて、個人データが相手の側にある会社。委託先がさらに別の業者に渡す(再委託)場合も含みます。
• 影響する: 委託元が自治体や指定管理者で、運営を事業者に任せている組織。練馬区は区、指定管理者、運営事業者の3段でした。
• 影響しない: 個人データを委託先に渡していない会社。ただし、社員がこれらのサービスに会社のメールアドレスで登録していないかは、別に確かめます。
• 影響しない: 東武鉄道は、委託先の報告として、同社に関する情報の閲覧・取得の形跡は現時点で確認されていないと公表しています(調査の進展で変わる可能性があります)。

会社・情シスが今日やること

1. 個人データを預けている委託先とサービスを一覧にする。預けた項目、件数、再委託の有無、事故のときの連絡先を書き足す。
2. 契約を開き、安全管理措置、取扱状況の把握、事故の報告期限が書かれているかを見る。無ければ、追記を相談する日を決める。
3. 問い合わせフォームやアンケートなど、公開の設定がある仕組みは、公開前に複数人で確認する決まりを作る。練馬区と鴨川市のように、設定の誤りは利用者が先に気づきます。
4. 委託先の管理画面は、多要素認証が付いているか、不要なアカウントが無いかを、委託先に聞く。スカラの管理サイトへの不正ログインが入口でした。
5. 手作業で人にデータを送る業務は、送る前の確認者と、中身の照合を決める。TOPPANの再発防止策が参考になります。

委託先で漏えいが起きたときの報告の流れは、委託先で個人情報が漏えいしたら?報告3〜5日・30日と本人通知の流れにまとめています。