【情報流出・不正アクセスまとめ 11/5】三井住友系の消費者金融で最大32万人の情報が流出

2026年11月6日

情報流出・不正アクセスまとめ 11/5では、三井住友系の消費者金融で最大32万人分の個人情報が流出したと発表されました。同日には、メールアドレスの漏えいや電力関連情報の流出可能性、オンラインサービスの停止なども明らかになっています。各社の発表内容を整理し、影響範囲や利用者が確認したい対策を紹介します。

情報流出・不正アクセスの主要事案一覧

11月5日に公表された情報流出・不正アクセス関連の主な事案では、金融、電力、通信、大学など幅広い分野で影響が報告されました。ただし、すべての事案で情報流出が確定したわけではありません。実際に外部への流出が確認されたケースと、可能性があるとして調査中のケース、サービス停止によって影響の確認を進めているケースを分けて捉える必要があります。

今回のニュースで特に注意したいのは、情報の種類や件数が事案ごとに異なることです。氏名や住所などを含む個人情報、メールアドレスのみの情報、電力使用量に関するデータは、想定されるリスクが同じではありません。また、対象件数がそのまま被害を受けた人数を意味するとは限らず、同一人物の重複や記録件数を含む場合もあります。

事案	公表された影響	公表時点での状況
SMBCコンシューマーファイナンス	最大32万118人分の個人情報	外部送信を発表し、調査を継続
三井住友銀行など	顧客のメールアドレスなど	メール配信サービスへの不正アクセスに関連
九州電力送配電	電力関連情報4,139件	外部流出の可能性を調査
NTTドコモ	オンライン手続きの一部	不正アクセスの可能性を受けサービス停止
大学・Web関連	サイト改ざんや問い合わせ情報	事案ごとに調査状況が異なる

件数や調査状況は、企業の追加発表によって更新されることがあります。ニュースを確認するときは、発表日だけでなく、その後の続報が出ていないかも確認しましょう。

SMBC系消費者金融で最大32万人分の情報が流出

SMBCコンシューマーファイナンスは、金融機関向けの保証業務に使うシステムが不正アクセスを受け、最大32万118人分の情報が外部に送信されたと公表しました。対象となる情報には、氏名、性別、生年月日、住所、電話番号、運転免許証番号、勤務先、年収、保証額などが含まれるとされています。ローンの保証業務に関わる情報が含まれているため、対象者は不審な連絡や本人確認を求める連絡に慎重になる必要があります。

一方、本人確認書類そのものの画像は対象外と説明されています。また、提携先のドコモSMTBネット銀行も、カードローン利用者のうち最大12万2,635人が対象になると公表しました。この人数はSMBCコンシューマーファイナンスが示す最大32万118人の内数です。銀行側のシステムに不正アクセスが確認されたという説明ではないため、両社の発表を混同しないことが大切です。

同社は11月2日に不正アクセスを検知し、システムへのアクセスを遮断したうえで、原因や影響範囲を調べています。対象者への連絡方法や追加の注意事項は、企業の公式発表で確認してください。メールや電話で連絡を受けた場合、相手が会社名や担当者名を名乗っても、暗証番号やパスワード、認証コードを伝えないことが重要です。

対象者が確認したい情報と注意点

氏名、住所、電話番号など、自分の情報が対象に含まれるか
運転免許証番号や勤務先など、影響した情報の範囲
企業からの正式な通知や、最新の調査結果
不審な電話・メールに記載されたリンクや連絡先
パスワードや認証コードを尋ねられていないか

情報流出の発表があったからといって、ただちに口座や契約が不正利用されたと決まるわけではありません。慌てて相手に返信するのではなく、公式サイトに掲載された窓口へ自分で連絡する対応が安全です。

三井住友銀行などでメールアドレス流出

三井住友銀行では、メール配信業務に利用していた外部サービスへの不正アクセスに関連して、顧客のメールアドレス22万7,216件が流出したと発表されました。主な対象は法人顧客と一部の個人事業主です。公表内容では、口座番号、預金残高、暗証番号、インターネットバンキングのログイン情報は含まれていないとされています。とはいえ、メールアドレスが知られることで、実在する銀行や取引先を装った詐欺メールが届く可能性はあります。

同じ外部のメール配信サービスに関連して、サマンサタバサ、三井不動産、NTTタウンページなどでもメールアドレスの流出が公表されました。各社の対象件数は異なり、影響する情報も一律ではありません。複数の企業が同じサービスに関係している場合でも、すべての契約企業や利用者が同じ被害を受けたと判断することはできません。

外部サービスを利用する企業では、自社システムが直接攻撃を受けていなくても、委託先やサービス提供会社を経由して影響が及ぶことがあります。今回のように、メール配信を担う事業者側の問題が複数の利用企業に波及すると、利用者はどの企業からの連絡が本物なのか見分けにくくなります。メール内のリンクからログインせず、ブックマークや公式アプリから確認する習慣が有効です。

九州電力送配電で電力関連情報4,139件が流出した可能性

九州電力送配電は、一部システムへの不正アクセスにより、電力使用量など4,139件の情報が外部に流出した可能性があると発表しました。対象情報には、月単位や30分単位の電力使用量、売電電力量、供給地点を識別する番号などが含まれるとされています。氏名、住所、電話番号、メールアドレス、口座情報などの契約者情報は含まれていないとの説明です。

同社は10月30日にシステムの異常を検知し、調査を実施した後、対象システムを緊急停止しました。ログなどの確認を通じて情報が外部に出た可能性を把握し、影響範囲を調べています。公表内容は「流出した可能性」であり、すべての情報が第三者に取得されたと確定したわけではありません。この違いは、ニュースを読む際に押さえておきたい点です。

電力使用量のデータは、契約者の氏名などと結び付いていない場合でも、生活パターンや事業活動の傾向を推測されるおそれがあります。対象者への案内や照会サービスの再開状況については、九州電力送配電の公式情報を確認してください。なお、発表時点では一部の電力量・料金照会サービスが停止していたものの、電力の安定供給への影響はないと説明されています。

NTTドコモは不正アクセスの可能性を調査

NTTドコモは、ドコモオンラインショップやMy docomoで一部手続きが利用できない状態となり、サービスを停止して調査・対応を進めました。停止の理由について、同社サーバーに外部から不正アクセスが行われた可能性が高いと判断したと説明しています。ただし、公表時点では原因や影響範囲を調べている段階で、個人情報の流出が確定したという発表ではありません。

オンラインサービスが利用できない場合、利用者は「アカウントが乗っ取られたのではないか」「契約情報が漏れたのではないか」と不安になりがちです。しかし、サービス停止は、被害の拡大を防ぐための予防措置として行われることもあります。サービスの停止だけを根拠に、情報流出や不正利用が発生したと決めつけず、ドコモの公式発表で確認済みの事実と調査中の内容を区別しましょう。

同日には5G SA契約者を対象とした通信障害も発生したとされていますが、発表時点でサイバー攻撃を示す事象は確認されておらず、オンラインサービス停止との関連も明らかになっていません。別々に公表されたトラブルを、根拠なく一つの原因に結び付けないことが大切です。サービスが再開した後も、身に覚えのない手続きや通知がないか、必要に応じてアカウントの利用状況を確認してください。

大学サイト改ざんと外部クラウド経由の情報流出

明治学院大学は、心理学部のWebサイトが第三者によって改ざんされていたと発表しました。一定期間、閲覧者に偽の認証画面を表示したり、不正な操作を促したりする仕掛けが設置されていた可能性があります。大学は個人情報の流出を確認していないとしていますが、当該期間にサイトを閲覧した人は、画面の指示に従って情報を入力したり、コマンドを実行したりしていないか振り返るとよいでしょう。

また、Web制作プラットフォームへの不正アクセスに関連し、GMO TECHは旧関連サイトの問い合わせフォームに送信された情報が流出した可能性を公表しました。対象となる可能性がある情報には、氏名、メールアドレス、電話番号、問い合わせ内容などが含まれます。第三者が実際に情報を取得した事実は確認されていないとされ、影響範囲の調査が続いています。

こうした事案は、企業や大学が自ら管理するサーバーだけでなく、外部クラウドやWeb制作サービス、委託先の環境も情報管理に関わることを示しています。利用者としては、問い合わせ時にどのような情報を入力したか、後日不審な連絡が届いていないかを確認しましょう。特に、問い合わせ内容を引用して信用させるメールには注意が必要です。心当たりのある内容が書かれていても、添付ファイルを開いたり、急かすリンクをクリックしたりする前に送信元を確かめてください。

情報流出の被害を防ぐために利用者ができること

情報流出が公表された際は、まず公式発表で自分が対象かどうかと、影響した情報の種類を確認します。対象者への連絡がある場合も、メール本文に記載されたリンクや電話番号をそのまま使うのではなく、企業の公式サイトや公式アプリから案内を探すのが安全です。公表内容が更新されることもあるため、初回発表だけで判断せず、続報にも目を通してください。

メールアドレスや連絡先が漏れた可能性がある場合、今後はフィッシング詐欺やなりすましに特に注意しましょう。銀行や通信会社を名乗って、本人確認やアカウント停止を理由にログインを促す連絡が届いても、メール内のリンクから認証情報を入力しないでください。パスワードの使い回しがある場合は、影響を受けたサービスだけでなく、同じパスワードを使う他のサービスも変更を検討します。

状況に応じた確認事項を整理すると、次のとおりです。

公表された対象情報と、自分が提供した情報を照らし合わせる
企業の公式窓口から対象者向けの案内を確認する
不審なログイン通知や契約変更、身に覚えのない連絡を確認する
使い回しのパスワードを変更し、多要素認証を設定する
認証コード、暗証番号、パスワードを電話やメールで伝えない
不審な連絡を受けた場合は、リンクを開かず公式窓口へ相談する

また、情報流出のニュースを見て、慌てて検索結果の広告やSNS上の案内にアクセスするのも避けたいところです。被害企業の公式発表を確認し、必要な手続きがある場合は正規の窓口を使いましょう。冷静に情報を確かめることが、二次被害を防ぐ第一歩です。

まとめ

11月5日は、SMBCコンシューマーファイナンスのシステムへの不正アクセスによる最大32万118人分の情報流出のほか、メールアドレスの流出、電力関連情報が流出した可能性、通信サービスの停止、大学サイトの改ざんなどが公表されました。事案ごとに、流出が確認された情報と、可能性の段階にとどまる情報が異なります。件数だけを見て、すべての利用者に同じ被害が起きたと考えないことが重要です。

対象となる情報に応じて、注意すべきリスクも変わります。メールアドレスが関係する場合は詐欺メールに警戒し、契約や本人確認に関わる情報が含まれる場合は、身に覚えのない連絡や手続きがないかを確認してください。被害の有無や対象範囲は追加発表で変わることがあるため、企業の公式情報を継続して確認し、パスワードの管理や多要素認証など基本的な対策を見直しましょう。