「カード情報は保存していない」はずなのに――2万人超に漏えい懸念が生じた理由

2026年7月27〜31日に公表されたセキュリティインシデントでは、ECサイトへの不正アクセスや委託先経由の情報漏えいリスク、メールや記録媒体の取り扱いミスなどが確認された。中でも注目したいのが、カード情報をデータベースに保存していなかった通販サイトで、決済アプリの改ざんによって2万人超の情報が流出した可能性が生じた事案だ。

[中村篤志，キーマンズネット]

　カード情報を自社で保存していなければ、漏えいリスクは抑えられる――正しそうに思えるこの考えにも落とし穴がある。

　2026年7月27〜31日に企業や自治体が公表したセキュリティインシデントでは、情報の保存先だけでなく、入力画面や委託先のシステム、日常的なファイル管理が被害の起点となった。その代表例が、プリンタ用インク通販サイト『インク革命.COM』の事案だ。同サイトはカード情報をデータベースに保存していなかった。それでも、漏えいの可能性は生じた。「保存しない」対策の、どこに穴があったのか。

　今週公表された事案を基に、Webサイトの改ざんやメール送信、記録媒体の管理など、情シス部門が点検したい5つのポイントを見ていく。

1．「カード情報を保存していない」のに漏えい懸念――「インク革命」で決済アプリを改ざん

　シー・コネクトは2026年7月29日、同社が運営するプリンタ用インク通販サイト「インク革命」が不正アクセスを受け、顧客の個人情報とクレジットカード情報が流出した可能性があると公表した。

　同社の説明によると、システムの一部に存在した脆弱（ぜいじゃく）性を突かれ、決済アプリが改ざんされた。同サイトではカード情報をデータベースに保存していなかったが、利用者が決済画面に入力した情報が外部へ流出した可能性がある。対象は、2025年4月8日〜12月10日までに同サイトで情報を入力した2万4166人。氏名や電話番号、生年月日、メールアドレス、ハッシュ化されたパスワードの他、カード名義人名とカード番号、有効期限、セキュリティコードが対象として挙げられている。

　同社は2025年12月9日、カード会社から情報流出の可能性について指摘を受け、翌10日にカード決済を停止した。その後、外部事業者による調査を進め、対象範囲を公表した。利用者にはカードの利用明細を確認するよう呼び掛けている。

出典：弊社が運営する「インク革命」への不正アクセスによる個人情報漏えい懸念に関するお詫びとお知らせ（シー・コネクト）

2．委託していない情報まで――駐車場管理の委託先が被害

　中電不動産は2026年7月28日、駐車場管理業務の委託先である名鉄協商が不正アクセスを受け、同社の顧客情報が外部へ流出した可能性があると公表した。

　名鉄協商が運用するサーバでは、ランサムウェアによる不正アクセスの痕跡が確認された。中電不動産によると、現時点で具体的な情報漏えいの事実は確認されていないものの、サーバに保存されていた情報が流出した可能性を否定できないという。対象は、2018年7月1日〜2024年10月31日までに中電不動産の月極駐車場を契約していた顧客約4000件。氏名や住所、口座情報、車両情報が含まれる。

　同社は個人情報保護委員会に報告し、利用者に対して不審な電話やSMSに注意するよう呼び掛けている。物流や施設管理などを外部へ委託する企業にとっても、委託先が保有する自社顧客情報の範囲と、事故発生時の連絡経路を確認したい事例だ。

出典：当社業務委託先における不正アクセスに伴うお客さま情報漏えいの可能性について（中電不動産）

3．メール本文に別の受講者のアドレス、相談内容の誤送信にも発展

　茨城県は、県立こころの医療センターが公開講座の受講者に送信したメール本文に、別の受講者1人のメールアドレスを誤って記載したと公表した。

　同センターの看護師が2026年7月1日、受講者31人へ講座の案内メールを送信した際に発生した。受信者の1人が、本文に記載されたアドレスをセンター担当者のものと誤認し、自身の氏名と相談内容を送信した。この結果、当初の記載ミスが別の受講者への情報漏えいにもつながった。2026年7月4日、相談メールを受け取った受講者からセンターへ連絡があり、問題が判明した。センターは対象者へ謝罪し、送信したメールの削除を依頼したとしている。

出典：県立こころの医療センターにおける個人情報の漏えいについて（茨城県）

4．生徒703人分の証明写真を保存した光ディスクが所在不明に

　大阪府は、府立高校で生徒703人分の証明写真データを保存した光ディスクを紛失したと公表した。

　2026年4月14日、教員が生徒指導のためにデータを使用しようとしたところ、職員室内の保管場所に光ディスクがないことが判明した。校内などを捜索したが、発見できなかったという。同校では、光ディスクを保管場所から持ち出す際に管理簿へ記録する決まりだったが、運用が徹底されていなかった。学校は対象となる生徒や保護者へ経緯を説明し、謝罪した。

出典：個人情報が記載された資料の紛失について――「生徒個人証明写真のデータ入りCD」の紛失について（大阪府）

5．黒塗りしたはずのPDF、コピー操作などで1380件を参照可能に

　富山県南砺市は、市のWebサイトで公開していた「地域計画」のPDFファイルについて、非公開とすべき個人情報がデータとして参照できる状態だったと公表した。

　対象は28地区の資料に含まれる、農業従事者の氏名など計1380件。画面上では情報が見えないよう処理されていたが、マスキングが適切に実施されておらず、データを参照できる状態だった。資料は2025年3月6日から公開されており、2026年7月9日に富山県からの指摘で問題が判明した。市は対象ファイルを非公開とし、修正を進めている。

出典：市ホームページにおける「地域計画」個人情報漏えい事案について（お詫び）（南砺市）

見落としやすい“情報の通り道”をどう見るか

　今回の事案では、情報が最終的に保存される場所だけでなく、その途中にある決済画面や委託先のサーバ、メール本文、可搬媒体、公開用PDFが問題の起点となった。

　自社でカード情報を保存していない場合でも、入力画面や外部サービスとの接続部分が侵害されれば、情報が流出する可能性がある。また、業務委託先が自社の顧客情報を保有している場合は、委託先で発生したインシデントが自社の顧客対応に直結する。

　情シス部門では、Webサイトの公開ファイルやプログラムの変更を検知できるか、外部事業者にどの情報を預けているか、メールや記録媒体の運用ルールが形骸化していないかを点検したい。