顧客情報が漏れたかもしれないときは？8つの兆候と初動対応

株式会社レイズ · 公開日：2026年10月18日 · 独自検証：同日実施

まず行う3つのこと

1. 社内の責任者・システム管理者へ、対象と症状を伝える。
2. システム管理者が、問題のある公開・共有・接続を制限する。
3. 発見日時と対象を記録し、メール・通知・操作履歴を保存する。

記録を全て集めるまで公開停止を待つ必要はありません。担当を分け、拡大防止と記録保存を並行して進めます。

初動6ステップを見る ／ 24項目のチェックリストへ ／ 社内報告のひな形へ

「御社に伝えた注文内容が書かれた、怪しいメールが届きました」

お客様から、こんな連絡を受けたらどうしますか。会社のサイトはいつもどおり表示され、社内のパソコンにも目立った異常はありません。それでも、顧客情報が漏れたのではないかと不安になるはずです。

最初にすることは、見つけた事実を責任者へ知らせ、今も情報が外へ出る状態ならシステム管理者と止めることです。同時に、発見日時・対象・画面や通知の記録を残します。原因を突き止めてから報告しようとすると、その間に被害が広がったり、調査に必要な記録が失われたりします。

この記事では、この架空のケースを例に、確認する場所と初動の6ステップを紹介します。後半には、社内でそのまま使える24項目のチェックリストと第一報のひな形も用意しました。

新人社員「まだ漏れたと決まっていません。報告していいですか？」

R.A.I「疑いの段階で知らせてください。『確認できたこと』と『まだ分からないこと』を分けて伝えると、責任者やシステム管理者が、何から調べるか判断できます。」

新人社員とR.A.Iは、確認のポイントを案内する架空のキャラクターです。

この記事でいう責任者は、対応方針や顧客・取引先への連絡を判断する人です。社長や部門責任者などが担当します。システム管理者は、アカウント・共有設定・サイト・端末を操作する人です。社内担当者や保守会社などが担当します。小さな会社では同じ人が兼任しても構いません。

初動の考え方は、IPAの「セキュリティインシデント対応の手引き」3ページも参考にしてください。

顧客情報の漏洩が疑われる8つの兆候と確認先

情報漏洩のきっかけは、不正アクセスだけではありません。添付ファイルの誤送信や、クラウドの共有設定の間違いも確認対象です。自分が見つけた状況に近い行から、確認先を探してください。

表は横にスクロールして確認できます。

不審なメール転送、送信済みフォルダの見覚えのないメール、認証設定の変更は、メールアカウントの侵害を調べる手がかりです。通知内のリンクをすぐ押さず、ブックマークなどから正規の管理画面を開いて確かめましょう。Microsoft 365の侵害対応、Googleアカウントの保護

「迷惑メールが増えた」「パソコンが遅い」といった変化だけでは、顧客情報の漏洩は判断できません。気づいた時刻と状況を記録し、通知や操作履歴と照合してください。

顧客情報の漏洩が疑われたときの初動6ステップ

以下の6項目で、発見直後の対応を整理します。ステップ1で責任者へ知らせたら、拡大防止、記録保存、報告・通知の要否の検討を並行して進めます。

ステップ1 分かっている事実を責任者へ知らせ、発見日時を記録する

まず、メモに「いつ気づいたか」「何が起きたか」「どのサービス・ファイル・端末か」を書きます。発見日時と、問題が始まった日時は別です。始まった時刻が分からなければ「不明」と残してください。

例えば、次の一報で構いません。

本日10時15分、お客様から「注文内容が書かれた不審メールが届いた」と連絡がありました。自社から漏れたかは未確認です。対象の注文情報の保管先と、関係するアカウントの履歴確認をお願いします。

これは記入例です。原因や被害人数が分からなくても、対象と未確認事項が伝われば、管理者は調べる場所を絞れます。

侵害が疑われるメールアカウントで連絡を続けることは避け、電話など別の連絡手段を選びます。責任者は、システムへの対応、記録の保存、顧客への連絡を、それぞれ誰が担当するか決めてください。担当者が少ない会社では兼任でも構いませんが、誰が判断するかは明確にします。

ステップ2 今も情報が外へ出る経路をシステム管理者が止める

顧客一覧が外部から開けるなら、その共有を止めます。アカウントが不正に使われている疑いがあれば、システム管理者がアクセスを制限します。状況によって、止める対象が変わります。

表は横にスクロールして確認できます。

Google Workspaceでは、不正使用が疑われるユーザーの一時停止などを管理者向けに案内しています。具体的な操作は、利用しているサービスの正規手順に従ってください。Google Workspaceのアカウント保護

新人社員「怪しいファイルを消して、パソコンを初期化すればいいですか？」

R.A.I「まず、システム管理者と情報が外へ出る経路を止めます。ファイルや記録を消すと、何が起きたか調べにくくなります。」

不用意な再起動、初期化、ログ削除は避けます。電源の扱いやサービス全体の停止は、進行中の被害と証拠保全を考慮してシステム管理者・専門担当者が判断してください。IPA「従業員の初動対応の規定」

ステップ3 顧客情報の保存場所と、設定・操作履歴を確認する

ここで確認したいのは、顧客情報がどこにあるかです。会社のWebサイトだけでなく、問い合わせフォーム、通知メール、クラウドで共有している顧客一覧、顧客管理システム、担当者の端末も調べる候補になります。

新人社員「会社のサイトは普通に開きます。それでも調べますか？」

R.A.I「はい。顧客情報がメールやクラウドにもあれば、その保存先の権限や操作履歴を確認します。」

Google Driveで顧客一覧を管理している場合は、対象ファイルの「共有」を開きます。「一般的なアクセス」と、個別にアクセス権を持つユーザーを確認してください。親フォルダやグループ経由の権限もシステム管理者に確認します。「制限付き」に変えた後も、個別の共有相手が残っていないかを見ることが大切です。Google Driveの共有設定

操作履歴を調べる担当者は、管理コンソールの「レポート → 監査と調査 → ドライブのログイベント」を開き、対象期間やファイルで絞ります。この機能の利用可否は、契約しているエディションと管理者権限によります。Google Workspaceのログ確認手順

メールが関係する場合は、最近のログインに加え、転送・フィルタ、送信済み、登録された認証方法、連携アプリを確認します。

新人社員「パスワードを変えたので、もう終わりですか？」

R.A.I「ログイン中の接続や転送設定、連携アプリもシステム管理者に確認してもらってください。ほかのアクセス経路が残っていないか確かめます。」

Microsoftの侵害対応でも、セッションの無効化、認証方法、アプリ権限、メール転送などを確認対象としています。Microsoft 365の侵害対応

フォームや顧客管理システムが関係する場合は、回答・顧客情報の保存先、管理ユーザー、CSV出力、外部サービスへの連携を確認します。自分に管理権限がなければ、「この期間、このファイル・アカウントに関する記録を残してほしい」と提供会社や保守担当者へ依頼してください。

ステップ4 記録を保存し、事実と推測を分ける

集める対象は、元メール、サービスからの通知、共有設定の画面、管理画面から取得できる操作履歴です。記録には、誰が、いつ、どの画面・期間から取得したかも添えます。時刻が日本時間か、別のタイムゾーンかも確認してください。

保存先は、関係者だけが開ける場所にします。共有メモへ顧客一覧を丸ごと貼り付ける必要はありません。原本の保管先を記載し、打ち合わせ用の資料には必要な情報だけを載せます。

次のように分けると、思い込みが報告へ混ざりません。

表は横にスクロールして確認できます。

上の表は記入例です。「危険そう」「たぶん大丈夫」といった感想は、確認した事実とは別の欄に置きましょう。

スクリーンショットに加え、システム管理者が取得できる元の記録も残します。顧客データや生のログを、会社が利用を認めていないAIチャットや公開の解析サイトへ貼り付けないでください。

ステップ5 漏れたおそれのある情報・人数・期間を整理する

次に、対象となる情報と範囲を整理します。氏名・連絡先・住所・注文内容・決済関連・認証情報など、何が含まれるのかを書き出してください。病歴などの情報がある場合も責任者へ伝えます。

「一覧に100行ある」と「100人分ある」は同じではありません。同じ人の注文が複数行になっている場合もあるため、レコード数と人数を分け、人数が分からなければ未確認と記します。

時刻も、「最後に適切な設定を確認した時刻」「問題の発生時刻」「発見」「制限」「再確認」を分けます。設定変更の記録がない場合は、分かっている期間と、その根拠を残します。

新人社員「アクセス履歴がありません。誰も見ていませんよね？」

R.A.I「履歴に何が残るか、いつから残っているかを確かめましょう。記録がないだけでは、見られていないとは言い切れません。」

Google Driveでも、すべての操作がログに残るわけではなく、記録が表示されるまでの時間にも違いがあります。検索対象の期間や記録範囲を確認してから結果を読み取ります。Google Workspaceのログ仕様

共有停止後に新しいアクセスを拒否できても、停止前に取得された情報の扱いは別に調べます。個人情報保護委員会も、アクセスログ等を確認できない場合には、漏洩またはそのおそれに該当し得ると説明しています。個人情報保護委員会のFAQ

ステップ6 調査の途中でも状況を共有し、必要な相談を進める

調査の途中でも、責任者へ状況を報告してください。「確認済みの事実」「実施した拡大防止」「未確認事項」「必要な支援」をまとめます。

例えば、「外部共有を止め、新規アクセスの拒否は確認済み。公開されていた期間と閲覧者は調査中。システム管理者に対象期間のログ保全を依頼した」という形です。停止できた部分と、調査が残る部分が伝わります。

社内で判断できない場合は、保守会社・サービス提供会社や、インシデント対応を扱う専門窓口へ相談します。JPCERT/CCでは初動対応や対応方針等の相談を受け付けています。依頼内容によっては、セキュリティベンダーへの相談が必要です。JPCERT/CC「インシデント相談・情報提供」

法令・契約上の報告や、顧客本人への通知の判断も、初期段階から責任者が進めます。報告や通知が必要になる条件は、後半の「個人情報保護委員会への報告・本人への通知はいつ必要か」で説明します。

Google Driveで確認：共有を止めても保存済みコピーは残る

今回の検証では、共有停止後の新しいアクセスは止まりました。しかし、停止前に保存したコピーは、その後も読めました。

2026年10月18日、レイズが管理する個人Googleアカウントと、完全に架空の顧客10件を記載したCSV1件で確認しました。実在する顧客の情報は使っていません。Googleにログインしていない新しいブラウザで、共有開始前・共有中・停止後を比較しました。

表は横にスクロールして確認できます。

「今は開けない」と「過去のコピーが消えた」は別だった

共有を止めた後は、同じダウンロード用URLにアクセスしても、CSVではなくログイン画面が返されました。一方、停止前にパソコンへ保存したCSVの内容は変わっていませんでした。

一覧部分を拡大して表示しています。画像を押すと、右上のログインボタンを含む元の画面を確認できます。

共有停止後のログイン画面です。画像を押すと元の画面を確認できます。

新人社員「今はリンクが開けません。これで対応完了ですか？」

R.A.I「新しいアクセスが止まったことは確認できました。停止前に誰が閲覧・取得したか、保存されたコピーがどう扱われているかは、別に調べます。」

この実測は、個人GoogleアカウントのCSV1件、1回の共有開始・停止です。別アカウントへの個別共有、親フォルダ・グループ経由の権限、開いたままのタブ、Google Workspaceの監査ログは検証していません。「停止前に第三者が見ていなかった」「コピーを全て回収できた」という結論にはつながりません。

社内で使える24項目の初動チェックリスト

以下は、対応の抜けと担当者を確認するための24項目です。記入には、下のExcelまたは印刷用PDFをお使いください。「実施済み・未実施・該当なし」を選び、確認結果と次に対応する担当者を書きます。確認した結果が不明なら、そのまま「不明」と残してください。

全てにチェックが付いても、漏洩がなかったことを証明するものではありません。

メール登録なしでダウンロードできます。

Excelには実施状況の選択欄、確認結果・担当者・次の期限の記入欄があります。PDFは、確認表と社内第一報を印刷して書き込む形式です。記入済みファイルは関係者だけが開ける場所に保存してください。

確認表そのものにも、関係者以外に見せられない情報が含まれます。記入済みの表の保存先と共有相手も、責任者と決めてください。

個人情報保護委員会への報告・本人への通知はいつ必要か

社内への報告は、疑いに気づいた段階で行います。続いて責任者が、個人情報保護委員会等への報告、影響を受ける本人への通知、契約先への連絡が必要かを判断します。

一般の民間事業者の個人データについては、次のような漏洩等、またはそのおそれが報告対象になります。具体的な該当性は、情報の内容や保護措置等も含めて確認します。

表は横にスクロールして確認できます。

対象人数が少なくても、上の表の別の条件に当てはまれば、報告が必要になる場合があります。「1,000人以下だから報告不要」と人数だけで決めないでください。個人情報保護委員会「漏えい等の対応とお役立ち資料」

報告対象を知った後の速報は速やかに、目安は概ね3〜5日以内です。確報は30日以内、不正目的の行為に係る対象事態は60日以内です。期限までに一部が分からない場合も、分かっている内容で報告し、判明後に追加します。

本人への通知は、事態の状況に応じて速やかに行います。 原因の調査中でも、本人への通知が必要になる場合があります。通知内容や時期は、本人の被害防止に役立つ情報、調査状況、通知による影響を考えて判断します。個人情報保護委員会・通則編3-5-3、3-5-4

委託元との契約や業種別のルールで、別の連絡条件が定められている場合もあります。報告や通知が必要かは、責任者や法務担当者が判断します。必要に応じて、個人情報保護委員会の窓口にも相談してください。

そのまま使える社内第一報のひな形

次のひな形をコピーして、責任者への第一報に使ってください。未確認の欄は「確認中」とし、分かった内容を後から更新します。

件名：顧客情報に関する異常の報告［確認中］

発見日時：

対象サービス・ファイル・端末：

発見のきっかけ：

確認できた事実：

まだ分からないこと：

現在も外部から取得できるか：

実施した拡大防止と実施時刻：

対象情報・人数・期間：

記録の保管先：

判断・支援を依頼したいこと：

担当者・次回の状況更新時刻：

これは社内共有用のひな形です。委員会への正式な報告は、指定された方法で行います。

冒頭の場面であれば、「お客様から不審メールの連絡があった」「自社由来かは未確認」「関係する情報の保存先と履歴をシステム管理者が確認する」と整理できます。漏洩したかどうかを、一人で判断する必要はありません。気づいた事実と記録を、対応する担当者に引き継いでください。

確認したこと、まだ分からないこと、次に誰が何をするか。この三つを更新しながら、対応を進めてください。

参考資料と出典

本文の説明は、以下の一次資料を参照しています。確認日：2026年10月16日。法令の報告条件・共有設定は10月18日に再確認。一般の民間事業者を対象とし、金融・医療・マイナンバー等の個別ルールは、それぞれの公式案内を確認してください。

• IPA「中小企業のためのセキュリティインシデント対応の手引き」：初動の基本、情報漏洩への対応。
• IPA「プラクティス7-2 従業員の初動対応の規定」：初動と証拠保全の注意点。
• 個人情報保護委員会「漏えい等の対応とお役立ち資料」：報告対象と手続の入口。
• 個人情報保護委員会「ガイドライン 通則編」：3-5-3の報告、3-5-4の本人通知。
• 個人情報保護委員会「第三者に閲覧されないうちに全てを回収した場合」に関するFAQ：アクセス等を確認できない場合の扱い。
• Google Drive「共有を停止、制限、変更する」：共有範囲と権限の変更。
• Google Workspace「ドライブのログイベント」：ログの確認と記録範囲。
• Microsoft 365「侵害されたメールアカウントへの対応」：メール侵害の兆候と対応。
• Google Workspace「不正使用されたアカウントを特定して保護する」：管理者の対応。
• Googleアカウント「ハッキングまたは不正使用されたアカウントを保護する」：利用者が確認する設定・履歴。
• JPCERT/CC「インシデント相談・情報提供」：初動等の相談内容と範囲。

初動対応のあとに、Webサイトの公開設定も確認する

顧客情報を守るために、普段使っているWebサイトの設定も確認しておきましょう。

Web AI Securityは、自社サイトのURLから公開情報を確認する無料のセキュリティチェックです。 通信の暗号化、ブラウザの保護設定、フォームの送信先などを確認し、全40項目を「確認OK・要改善・不明」で表示します。AIが結果と推奨対応を説明し、会社名入りのPDF報告書と改善チェックシートも取得できます。

新人社員「この無料検査で、今回の漏洩も分かりますか？」

R.A.I「公開Webページの設定を確認する検査です。今回の漏洩の調査は、情報の保存先やアカウントの記録をシステム管理者と調べます。」

現在進行中の疑いがある場合は、社内責任者・保守会社等への連絡と拡大防止を先に進めてください。平時の点検や、初動後に公開Web設定を見直す際にご利用いただけます。

気になる問題の調査・修正を依頼したい方は、Webサイトの調査・改善サービスをご覧ください。Webサイトの調査・改善を相談することもできます。相談は無料です。有料の調査・修正は、実施範囲と費用をご案内してから進めます。この窓口は24時間の緊急対応窓口ではありません。

所要時間の目安は約3分です。サイト内の公開ページを最大10ページ確認します。PDF取得には会社名・メールアドレスの入力が必要です。クラウド内部の権限、メール、社内端末、漏洩の発生そのものは、この検査の判定対象に含みません。