はじめに
2026年10月、国内外で企業へのサイバー攻撃や個人情報の漏洩が相次いでいます。
AIは、文章の作成やプログラミングを支援する便利な技術です。一方で、悪意を持った人間が利用すれば、攻撃対象の調査、フィッシングメールの作成、脆弱性の探索などを効率化する道具にもなります。
これまで高度な技術を持つ攻撃者でなければ難しかった作業の一部が、AIによって容易になる。攻撃の規模や速度が変われば、防御する側にもこれまでとは違う対応が求められます。
企業がどれほど対策を講じても、すべての攻撃を完全に防ぐことは困難です。企業から情報が漏洩した場合、その影響を受けるのは私たち個人でもあります。
では、個人として何ができるのでしょうか。
この記事では、専門的なセキュリティ技術の解説ではなく、一般の利用者が今日から実践できる対策を考えます。
1. これからは「情報を渡さない」ことも重要になる
インターネット上のサービスを利用するとき、私たちはさまざまな個人情報を登録しています。
- 氏名、生年月日、住所、電話番号
- メールアドレス
- 利用しているサービスや商品の情報
- 決済情報や購入履歴
- 趣味、興味、アンケートへの回答
ひとつひとつの情報は、単独では大きな問題にならないかもしれません。しかし、複数のサービスから漏洩した情報が組み合わされると、本人になりすました連絡や、本人の事情を知っているかのような詐欺に悪用される可能性があります。
例えば、メールアドレス、氏名、購入履歴が漏洩したとします。そこに別のサービスから漏れた電話番号や住所が加われば、攻撃者は、より本物らしいメッセージを作れるかもしれません。
AIによって、このような情報の整理やメッセージの作成が効率化されれば、私たちが受け取る詐欺の連絡も、より巧妙になる可能性があります。
そこで、まず考えたいのが、そもそも必要のない個人情報を登録しないという対策です。
2. 今からできる、アカウントの整理
2.1 使っていないサービスから退会する
過去に登録したものの、現在はほとんど利用していないサービスはないでしょうか。
無料会員、キャンペーン応募、期間限定の通販サイト、過去に利用したアプリなど、登録したこと自体を忘れているサービスもあるはずです。
こうしたアカウントを整理することには意味があります。サービス側が侵害された場合に備え、不要な個人情報が残っている場所を減らせるからです。
ただし、退会すれば必ず登録情報がすべて消去されるとは限りません。法令上の保存義務やサービスの規約などにより、情報が一定期間残る場合もあります。
退会手続きに加えて、個人情報の削除についても確認しましょう。
2.2 新しい会員登録を慎重にする
新しいサービスに登録する前に、次のことを考えてみます。
- 本当に会員登録が必要なのか。
- ゲスト購入や登録不要の方法はないか。
- そのサービスに住所や電話番号まで渡す必要があるのか。
- 運営会社や問い合わせ先が明確か。
- 多要素認証などのセキュリティ機能が用意されているか。
会員登録をしなければ利用できないサービスもあります。しかし、何となくキャンペーンに応募する、特典を受け取るためだけに登録する、といった習慣は見直す余地があります。
2.3 生年月日などは、本当に必要かを考える
生年月日は、複数のサービスに登録されがちな個人情報です。本人確認やアカウント復旧の手掛かりとして利用されることもあります。
入力が任意であれば、空欄にすることを検討しましょう。
ただし、本人確認や年齢確認が必要なサービス、金融サービスなどでは、正確な情報の登録が必要です。また、必須項目に架空の情報を入力すると、アカウント復旧ができなくなるなどの問題が起こり得ます。
大切なのは、必要な情報を正確に登録し、不要な情報まで安易に提供しないことです。
3. パスワードだけに頼らない
3.1 使い回しをやめる
複数のサービスで同じパスワードを使っていると、ひとつのサービスから漏れたパスワードを使って、ほかのサービスにもログインされる危険があります。
まずは、メール、金融、通販、SNSなど、重要なアカウントから対策しましょう。
すべてのサービスで異なるパスワードを設定するのが基本です。覚えきれない場合は、信頼できるパスワードマネージャーを利用する方法もありますが、自動入力に任せきりにしないことも重要です。
3.2 多要素認証やパスキーを使う
パスワードだけでログインするサービスよりも、多要素認証に対応したサービスのほうが、一般にアカウントを保護しやすくなります。
利用できる場合は、次のような機能を検討しましょう。
- パスキー
- 認証アプリによるワンタイムコード
- セキュリティキー
- その他の多要素認証
パスキーは、従来のパスワードに依存しない認証方式で、偽サイトに認証情報を入力させるタイプのフィッシング攻撃にも強い特徴があります。
一方、SMSやメールで届く確認コードも、パスワードだけの場合より安全性を高める手段ですが、すべての方式が同じ強さというわけではありません。
また、多要素認証を設定したからといって、すべての攻撃を防げるわけではありません。 偽サイトへの誘導や、本人に認証を承認させる手口などにも注意が必要です。
3.3 重要なメールアカウントを最優先で守る
見落としがちですが、メールアカウントは特に重要です。
多くのサービスでは、パスワードを忘れたときの再設定リンクや本人確認コードがメールで送られます。メールを乗っ取られると、そこを起点に別のサービスまで不正利用される可能性があります。
メールアカウントには強固で使い回しのないパスワードを設定し、多要素認証やパスキーを有効にしましょう。復旧用の電話番号やメールアドレスが古いままになっていないかも確認します。
4. 【重要】覚えのない認証要求には応じない
多要素認証を設定していても、認証要求そのものを悪用する攻撃があります。
例えば、突然スマートフォンにログイン承認の通知が届いたり、メールで確認コードが送られてきたりするケースです。
自分がログイン操作をしていないのであれば、承認してはいけません。
- 覚えのないログイン承認は拒否する。
- 自分が要求していない確認コードは、誰にも教えない。
- サポート担当者を名乗る相手にも、認証コードや復旧コードを渡さない。
- 不審な通知が繰り返される場合は、公式アプリやブックマークからサービスにアクセスし、アカウントの状況を確認する。
攻撃者がパスワードを入手している場合、本人に何度も承認を要求し、誤操作や疲労による承認を狙うことも考えられます。
「通知が来たから承認する」のではなく、「自分が今、操作しているから承認する」という習慣をつけましょう。
5. 情報漏洩を前提に、被害を広げない
どれほど気をつけていても、利用している企業から情報が漏れる可能性は残ります。だからこそ、漏洩そのものを防ぐ対策に加えて、漏洩後の被害を抑える対策も重要です。
5.1 支払い手段を見直す
通販サイトなどにクレジットカード情報を登録する場合は、そのサービスを信頼できるかを確認しましょう。
利用できる場合は、利用先や金額を制限できる決済手段を検討するのも一案です。また、カード会社の利用通知を有効にし、身に覚えのない決済に早く気づけるようにしておきます。
5.2 アカウントの復旧方法を確認する
スマートフォンの紛失や機種変更、メールアカウントの利用不能などに備え、重要なアカウントの復旧方法を確認しておきましょう。
復旧コードなどは安全な場所に保管し、メールや写真フォルダーに無造作に保存しないようにします。
5.3 漏洩の連絡が届いたら、公式窓口から確認する
サービスから情報漏洩に関する連絡が届いた場合、メール内のリンクをすぐに開くのではなく、公式サイトや公式アプリから案内を確認します。
漏洩した情報の種類に応じて、パスワード変更、カード会社への連絡、アカウントの利用状況の確認などを行います。
特に、同じパスワードをほかのサービスでも使っていた場合は、そちらも変更する必要があります。
おわりに
AIの進化によって、サイバー攻撃の方法や規模は今後も変化していくでしょう。そのすべてを個人の努力で防ぐことはできません。
だからこそ、私たちができることは、攻撃を完全に防ぐことだけではありません。
不要な個人情報を渡さない。使わないアカウントを整理する。認証を強化する。覚えのない要求には応じない。そして、万が一情報が漏れても、被害が広がりにくい状態をつくる。
こうした対策は、派手なものではありません。しかし、今日から実践できることです。
便利なサービスを使い続けるためにも、私たち自身が、自分の情報をどこに預けているのかを意識する必要があります。
これからのセキュリティ対策は、「侵入を防ぐ」だけでなく、「渡す情報を減らす」「被害を広げない」という視点も大切になるのではないでしょうか。
参考情報
- IPA（情報処理推進機構）「不正アクセスによる漏えい等の事案を踏まえ、速やかに実施すべき対策等について」（2026年10月9日）
- 個人情報保護委員会「大規模な漏えい等事案を踏まえた対応について」（2026年10月7日）
- Reuters, “South Korea, Japan buffeted by hacks as AI lowers bar for cybercriminals”（2026年10月9日）