SUBARUが公表した228,734件は、人数ではなく、コールセンターで受け付けた件数です。同じ委託先への不正アクセスについては少なくとも20の企業・団体が公表し、件数を示した各社はそれぞれ異なる数え方を使っています。持株会社は重複を含む最大約550万件としています。並んだ数字は、どこまで足し合わせてよいのでしょうか。
ロードサービスの受付・手配を担う株式会社プレステージ・コアソリューション（PCS）の業務システムが不正アクセスを受けた。持株会社の株式会社プレステージ・インターナショナルは11月2日、重複を含む最大約550万件の個人情報が外部に持ち出されたと公表した。11月6日までに、損害保険、共済、クレジットカード、カーリース、自動車メーカー、レンタカー、自転車サポートなど、PCSに業務を委託していた少なくとも20の企業・団体が、自社の顧客に関わる影響を公表している。各社が示した件数は、数え方も時点も異なる速報値で、足し合わせることはできない。対象には、1月に委託契約を終えていた保険会社の案件や、2017年から2021年までの問い合わせ記録も含まれた。
委託元の公表は、11月2日に始まりました。ENEOS株式会社、三井ダイレクト損害保険株式会社、アクサ損害保険株式会社、ニッポンレンタカーサービス株式会社、日本カーソリューションズ株式会社などが、同じ日に公表しています。11月5日には株式会社日産フィナンシャルサービスが最大約23.6万件、損害保険ジャパン株式会社が約6.5万件の可能性を公表しました。11月6日には、プレステージ・インターナショナルが第2報でクレジットカード番号3件の持ち出しを加えています。同じ日に株式会社SUBARU、チューリッヒ保険会社、株式会社２りんかんイエローハットなども続きました。11月9日時点で、プレステージ・インターナショナルの第3報は出ていません。
委託先1社への攻撃をきっかけに、委託元の公表が連鎖していく構図は、10月のi-askやIDCFクラウドの件でもinnovaTopiaで個別に伝えてきました。退会や契約終了の後に残っていた情報が漏えいの範囲を広げた例も、タイムズカーやGyazo、無印良品の記事で扱っています。ここでは各社の公式発表を並べ直し、件数の読み方と、委託を終えた後の情報の行方という2つの点から、今回の事案を読み解きます。
10月29日の検知から11月6日の第2報まで
| 時期 | 出来事 | 出典 |
|---|---|---|
| 2017年10月〜2021年10月 | SUBARUの「SUBARU オイルメンテナンスコール」が問い合わせを受け付けた期間。今回の対象に含まれる | SUBARU |
| 2026年1月31日 | チューリッヒ保険会社がPCSとのロードサービスの委託契約を終了 | チューリッヒ保険会社 |
| 10月29日 | PCSの業務システムへの不正アクセスを検知。不正に使われた認証情報を無効化 | プレステージ・インターナショナル |
| 10月30日 | 不正アクセスが続いたため、システムを停止。ロードサービスは代替の運用で継続 | プレステージ・インターナショナル |
| 11月2日 | プレステージ・インターナショナルが第1報（最大約550万件）。ENEOS、三井ダイレクト損害保険、アクサ損害保険、ニッポンレンタカーサービス、ソニー損害保険、日本カーソリューションズなどが公表 | 各社 |
| 11月4日 | ENEOSが第2報、JA共済連が第一報、ジャックスが公表 | 各社 |
| 11月5日 | 日産フィナンシャルサービス、損害保険ジャパン、はとや、ポルシェジャパンなど、KDDI、パナソニック オートモーティブシステムズが公表 | 各社 |
| 11月6日 | プレステージ・インターナショナルが第2報（クレジットカード番号3件）。SUBARU、スバルファイナンス、IDOM、２りんかんイエローハット、チューリッヒ保険会社、REXEV、ビー・エム・ダブリュー2社が公表 | 各社 |
PCSに業務を委託していた各社の公表
表は、各社の発表に記載された件数を示しています。速報値、最大件数、特定の時点で確認した件数など、数字の位置付けと基準日は発表ごとに異なります。「件数の性格」の列は、各社の発表に基づいて、集計の単位や上限、漏えいの確認・調査の状況を要約したものです。
| 公表日 | 公表した企業・団体 | PCSに委託していた業務 | 公表された件数 | 件数の性格 | 口座情報 |
|---|---|---|---|---|---|
| 11月2日（第2報 11月6日） | 株式会社プレステージ・インターナショナル（PCSの持株会社） | — | 最大約550万件。第2報でクレジットカード番号3件 | 持ち出しを確認。件数は重複を含む最大値で、人数は精査中 | 一部を含む |
| 11月2日（第2報 11月4日） | ENEOS株式会社 | ENEOSカーリースの管理業務の一部。第2報でENEOS Charge Plus法人会員向けサービスの管理業務を追加 | カーリース：最大8,500件。第2報：個人情報 最大14件、法人用充電会員番号 最大2,886件、法人名 最大500件 | カーリースは漏洩した可能性のある契約件数。第2報は情報の種類ごとの最大件数 | 含まない |
| 11月2日 | 三井ダイレクト損害保険株式会社 | ロードサービス | 記載なし | 漏えいのおそれ（調査中） | 記載なし |
| 11月2日 | アクサ損害保険株式会社 | ロードサービス | 記載なし | 流出の有無を含めて確認中 | 記載なし |
| 11月2日 | ニッポンレンタカーサービス株式会社 | レンタカーサービスのロードサービス等 | 記載なし | 自社の顧客の情報が含まれるかを調査中 | 自社の顧客分は含まないとの報告を受けた |
| 11月2日 | 日本カーソリューションズ株式会社 | 業務の一部 | 精査中 | お客さま情報の持ち出しが判明。自社に関連する対象者・範囲・件数は精査中 | 持ち出された情報に「口座情報の一部等」が含まれる（自社の顧客分かは精査中） |
| 11月2日 | ソニー損害保険株式会社 | 自動車保険のロードサービス | 記載なし | 契約者情報の持ち出し等をPCSが確認中 | 記載なし |
| 11月4日 | 全国共済農業協同組合連合会（JA共済連） | 自動車共済のレッカー・ロードサービス | 記載なし | 一部の利用者の情報の漏えいが判明。項目と範囲は確認中 | 記載なし |
| 11月4日 | 株式会社ジャックス | クレジットカード会員向けロードサービス（CLUB AJカード、2りんかんジャックスカード。後者の業務委託元は加盟店） | 記載なし | 個人情報の漏えいが判明。項目は記載なし。２りんかんイエローハットの公表と重なるサービスを含む | 記載なし |
| 11月5日 | 株式会社日産フィナンシャルサービス | ロードサービスの受付・手配 | 最大約23.6万件 | 漏洩した可能性のある情報の件数 | 含まない |
| 11月5日 | 損害保険ジャパン株式会社 | 一部の自動車保険の問い合わせ・受付管理 | 約6.5万件 | 漏洩した可能性のある件数 | 記載なし |
| 11月5日 | 株式会社はとや | はとやロードサービス | 1,085件 | 速報値。重複を含む可能性がある | 記載なし |
| 11月5日 | ポルシェジャパン株式会社、ポルシェファイナンシャルサービスジャパン株式会社 | ロードサービス、自動車保険の事故受付 | 特定できていない | — | 記載なし |
| 11月5日 | KDDI株式会社 | au自転車サポートの自転車ロードサービスの受付・手配 | 記載なし | 漏えいの可能性 | PCSに提供していない |
| 11月5日 | パナソニック オートモーティブシステムズ株式会社（委託元は子会社のパナソニック カーエレクトロニクス株式会社） | パナソニックブルーバッテリー安心サポートの管理業務の一部 | 173件 | 漏洩した可能性のある情報 | 記載なし |
| 11月6日 | 株式会社SUBARU | お客様向けコールセンター業務の一部 | 228,734件 | コールセンターでの受付件数。個人情報の件数とは異なる | 記載なし |
| 11月6日 | スバルファイナンス株式会社 | 自動車保険のロードサービスの受付・手配 | 最大3,117件 | 個人情報の件数（最大） | 含まない |
| 11月6日 | 株式会社IDOM | ロードサービスに関する業務 | 694件 | 漏えいの疑いがあるデータの件数 | 一部を含む |
| 11月6日 | 株式会社２りんかんイエローハット | ２りんかんJACCSカード会員向けロードサービス、２りんかんロードサービス | 記載なし | 項目も特定・精査中 | 記載なし |
| 11月6日 | チューリッヒ保険会社 | ロードサービス（2026年1月31日に委託契約を終了） | 記載なし | 漏えいしたとの報告を受けた | 記載なし |
| 11月6日 | 株式会社REXEV | カスタマーセンター業務 | 547件 | 問い合わせ記録の件数。人数とは異なる場合がある | 確認されていない |
| 11月6日（個人情報保護委員会への報告は11月2日） | ビー・エム・ダブリュー株式会社、ビー・エム・ダブリュー・ジャパン・ファイナンス株式会社 | ロード・アシスタンス業務等 | 記載なし | 自社の顧客への影響範囲と対象人数は特定できていない | システム全体の項目として「金融機関口座情報（一部）」を挙げる。自社の顧客分かは未特定 |
このほか、キムラユニティーも公表したと報じられていますが、11月9日時点で発表の原文は確かめられていません。
表を見ると、同じシステムへの同じ不正アクセスでも、発表ごとに書かれている範囲が違うことがわかります。口座情報は、プレステージ・インターナショナルとIDOMが「一部を含む」とし、日産フィナンシャルサービスとスバルファイナンス、ENEOSは「含まない」としています。ニッポンレンタカーサービスは、自社の顧客の口座情報は含まれないとの報告を受けたとしています。KDDIは、そもそもPCSに提供していないと説明しています。
侵入されたシステムの名前「PremierNet2（PN2）」も、プレステージ・インターナショナルの発表ではなく、日産フィナンシャルサービス、損害保険ジャパン、IDOMの発表に出てくる名前です。原因については、損害保険ジャパン、IDOM、日本カーソリューションズが、PCSからの報告として「アクセス制御」と「認証情報の管理」の不備を挙げています。IDOMは、原因の詳細は外部の専門機関の調査を経て確定するとしています。
委託先は1社でも、そこに何を預けていたかは委託元ごとに異なります。自分の情報が対象かどうかは、全体の発表ではなく、いま契約している会社や、過去に契約・利用したサービスの提供会社の発表で、対象の条件と判明している項目を確かめるのが確実です。範囲の調査が続いている会社もあるため、続報や個別の案内にも目を配る必要があります。
「550万件」と各社の数字は足し算できない
見出しになりやすい「550万件」は、人数ではありません。プレステージ・インターナショナルは、この数字を重複を含む最大値とし、重複を除いた人数は精査中としています。ただし、重複が何を指すのか、どのように数えたのかまでは説明していません。
委託元が示した数字も、単位がそろっていません。SUBARUの228,734件は、コールセンターでの受付件数です。SUBARU自身が、漏えいした可能性のある個人情報の件数とは異なると注記しています。REXEVの547件は問い合わせ記録の数、はとやの1,085件は重複を含みうる速報値、IDOMの694件は漏えいの疑いがあるデータの件数です。ENEOSの8,500件は契約件数として示されています。
SUBARUとスバルファイナンスはプレステージ・インターナショナルの発表と、ENEOSはプレステージ・コアソリューションの発表と、それぞれ対象範囲や件数が異なると明記しています。各社の数字は単位が異なり、550万件との対応関係も示されていません。つまり、委託元の数字を合計して550万件と比べることも、550万件から各社の分を差し引くこともできません。
件数を単純に合計できないという事情は、メール配信の委託先を経由したアララ経由の一連の公表でも同じでした。個人情報保護委員会が10月に示した漏えい報告の集計の記事でも、委託元と委託先が同じ事案をそれぞれ報告しうるため、件数は重なりうると整理しています。委託という仕組みの上では、同じ情報が複数の発表に、異なる単位で登場するのは避けられない面があります。
読む側にとって大切なのは、大きな数字の大小よりも、自分が契約先から案内を受ける立場にあるかどうかです。損害保険ジャパンは対象となる顧客に順次個別に連絡するとし、SUBARUは該当する顧客に順次、必要な情報を提供するとしています。
委託を終えた後も、預けた情報は対象になった
今回の公表の中で、時間の幅を感じさせる記述が2つあります。
1つは、チューリッヒ保険会社の発表です。同社はPCSにロードサービス業務を委託していましたが、委託契約は2026年1月31日付で終了しています。それでも、今回漏えいした個人情報には、当時PCSに委託していた際の個人情報が含まれていたと説明しています。影響の可能性があるのは、1月31日までに委託した案件だけだとしています。不正アクセスが検知されたのは、委託を終えてから約9か月後でした。
もう1つは、SUBARUの発表です。対象には、ロードサービスを手配した顧客に加えて、2017年10月から2021年10月までに「SUBARU オイルメンテナンスコール」へ問い合わせた顧客や、この窓口から電話を受けた顧客が含まれています。この窓口は、2017年9月に国土交通省へ報告したサービスキャンペーンに伴って設けた専用コールセンターで、サンバー、プレオ、R1、R2、ステラが対象車種でした。
これらの情報が、どのような取り決めのもとでPCSのシステムに保持されていたのかは、11月9日時点の発表には示されていません。
個人情報保護法には、保存期間の一般的な定めはありません。そのうえで、利用する必要がなくなった個人データを遅滞なく消去するよう努めること（第22条）、漏えいなどを防ぐために必要かつ適切な安全管理措置を講じること（第23条）、取扱いを委託する場合は委託先に対して必要かつ適切な監督を行うこと（第25条）を、事業者に求めています。委託を終えた後の情報の扱いは、こうした法の考え方に、利用目的や保存が必要な事情、契約の内容を重ねて判断されます。
一方で、システムに残っている情報は、攻撃を受けたときに漏えいの対象になりえます。innovaTopiaでは、タイムズカーが退会者の運転免許証画像を7年間保存していた例や、無印良品で特典のための連携が2021年7月に終わった後もカード番号が残っていた例を伝えてきました。
今回の事案は、委託契約を終えた後の案件の情報や、過去の問い合わせ記録をどう扱うかという問いが、委託先に預けた情報にも関わってくることを示しているといえます。
ロードサービスは、さまざまな契約の中にある
ロードサービスは、自動車保険やクレジットカード、カーリース、自動車メーカーの窓口、レンタカー、自転車向けのサポートサービスなどを通じて提供されています。今回の発表を並べると、同じ受付の仕組みが、これだけ多くの契約やサービスの裏側で使われていたことがわかります。
今回、PCSに業務を委託していた各社がそれぞれの言葉で公表したことで、利用者は「自分はどの契約でロードサービスを使ったか」から対象かどうかをたどれるようになりました。委託元の公表の連鎖は、利用者が自分の位置を確かめるための地図にもなっています。
プレステージ・インターナショナルと各社は、関係先をかたる不審な電話やメール、SMSへの注意を呼びかけています。プレステージ・インターナショナルは、電話やメールでパスワードや口座の暗証番号などを尋ねることはないとしています。第2報では、クレジットカードを利用している人に、利用明細に身に覚えのない請求がないかの確認を勧めています。
ロードサービスは、事故や故障で困っている人のもとへ、速く確実に助けを届けるための仕組みです。今回の発表からは、多くの企業がその受付と手配をPCSに託し、各社の顧客の情報が同じ業務システムで扱われていたことがわかります。一つの窓口に集まる情報をどう守り、使う必要がなくなった情報をどう手放すか。今回の公表の連鎖は、その設計を委託元と委託先が一緒に見直していくための材料を、具体的な形で残したといえそうです。
【参考記事】
ロードサービス向け業務システムを手がけるプレステージ・コアソリューション、不正アクセスで最大550万件の情報漏えい（外部）
Internet Watchの記事。PCSへの不正アクセスで最大550万件の情報が漏えいし、重複を除いた人数は調査中と伝えた。
「au自転車サポート」で顧客情報漏えいの可能性、委託先に不正アクセス（外部）
ケータイ Watchの記事。au自転車サポートの委託先がPCSであり、同サービスの漏えい件数は明らかにされていないと伝えた。
キムラユニティー、外部委託先から顧客情報流出（外部）
LOGISTICS TODAYの記事。キムラユニティーが委託先PCSから11月2日に連絡を受け、4日に顧客情報の流出を発表したと伝えた。
【編集部後記】
JA共済連の発表には、10月30日にプレステージ社のシステム障害でサービスの提供に遅れが出た、という一文があります。システムが止まったその日、利用者の側に見えていたのは、情報の流出ではなく、電話の向こうの「待ち時間」だったのかもしれません。
プレステージ・インターナショナルは、システムの停止中も代替の運用でロードサービスを続けているとしています。路肩で助けを待つ人にとって守られるべきものは、情報と、もう一つ、助けが届くまでの時間です。止めずに守る備えは、どこまで用意しておけるものでしょうか。
【用語解説】
ロードサービス
事故や故障で車が動かなくなったときに、レッカー移動や応急対応を手配するサービス。自動車保険、クレジットカード、カーリース、自動車メーカーの窓口などを通じて提供される。受付と手配を専門の会社に委託することが多い。
委託元・委託先
個人データの取扱いを他社に任せる側が委託元、任される側が委託先である。今回は、保険会社や自動車関連の各社が委託元、PCSが委託先にあたる。
PremierNet2（PN2）
PCSがロードサービス等の受付・手配に使っていた業務システムの名前。日産フィナンシャルサービス、損害保険ジャパン、IDOMの発表に記載がある。
安全管理措置
個人情報保護法第23条が事業者に求める、個人データの漏えい・滅失・毀損を防ぐための措置。組織、人、物理、技術の各面から講じる。
委託先の監督
個人情報保護法第25条が定める義務。個人データの取扱いを委託する事業者は、委託先に対して必要かつ適切な監督を行わなければならない。
サービスキャンペーン
リコールや改善対策に当たらない不具合について、自動車メーカーが行う改善措置。国土交通省は、不具合への対応をリコール、改善対策、サービスキャンペーンの3つに区分している。SUBARUの「SUBARU オイルメンテナンスコール」は、2017年9月に国土交通省へ報告したサービスキャンペーンに伴って設けられた。
【参考リンク】
株式会社プレステージ・インターナショナル「当社グループの業務システムへの不正アクセスによる個人情報漏えいに関するお知らせとお詫び」（外部）
株式会社プレステージ・インターナショナルの第1報。PCSの業務システムへの不正アクセスと、重複を含む最大約550万件の持ち出しを公表した。
株式会社プレステージ・インターナショナル（第2報）（外部）
プレステージ・インターナショナルの第2報。受付記録の一部に残っていたクレジットカード番号3件の持ち出しを、新たに確認したと公表した。
ENEOS株式会社（第1報）（外部）
ENEOS株式会社の第1報。ENEOSカーリースの管理業務の委託先への不正アクセスで、最大8,500件の契約情報が漏洩した可能性を公表した。
ENEOS株式会社（第2報）（外部）
ENEOSの第2報。ENEOS Charge Plusの法人会員向けサービスで、個人情報最大14件などが漏洩した可能性を追加で公表した。
三井ダイレクト損害保険株式会社（外部）
三井ダイレクト損害保険株式会社のお知らせ。ロードサービス業務の委託先PCSへの不正アクセスで、顧客情報が漏えいしたおそれを公表した。
アクサ損害保険株式会社（第1報）（外部）
アクサ損害保険株式会社の第1報。ロードサービス業務の委託先PCSへの不正アクセスを公表した。流出の有無と影響範囲は確認中としている。
ニッポンレンタカーサービス株式会社（外部）
ニッポンレンタカーサービス株式会社のお知らせ。自社の顧客の口座情報は含まれないとの報告を受けたとし、その他の情報は調査中としている。
日本カーソリューションズ株式会社（外部）
日本カーソリューションズ株式会社のお知らせ。業務の一部の委託先PCSへの不正アクセスで、顧客情報の持ち出しが判明し、件数は精査中とした。
ソニー損害保険株式会社（外部）
ソニー損害保険株式会社のお知らせ。自動車保険のロードサービスの委託先PCSへの不正アクセスについて、契約者情報の持ち出し等は確認中とした。
JA共済連（第一報）（外部）
JA共済連の第一報。自動車共済のレッカー・ロードサービスの委託先への不正アクセスで、一部の利用者の情報の漏えいが判明したと公表した。
株式会社ジャックス（外部）
株式会社ジャックスのお知らせ。CLUB AJカードなどクレジットカード会員向けロードサービスの委託先で、個人情報の漏えいがあったと公表した。
株式会社日産フィナンシャルサービス（外部）
株式会社日産フィナンシャルサービスのお知らせ。ロードサービスの委託先への不正アクセスで、最大約23.6万件が漏洩した可能性を公表した。
損害保険ジャパン株式会社（外部）
損害保険ジャパン株式会社のお知らせ。自動車保険の問い合わせ・受付管理の委託先への不正アクセスで、約6.5万件の漏洩の可能性を公表した。
株式会社はとや（外部）
株式会社はとやのお知らせ。はとやロードサービスの委託先から、1,085件（速報値。重複の可能性あり）の報告を受けたと公表した。
ポルシェジャパン株式会社（外部）
ポルシェジャパン株式会社とポルシェファイナンシャルサービスジャパン株式会社のお知らせ。影響範囲と対象人数は特定できていないとした。
KDDI株式会社（外部）
KDDIのお知らせ。au自転車サポートの自転車ロードサービスの委託先への不正アクセスで、顧客情報の一部が漏えいした可能性を公表した。
パナソニック オートモーティブシステムズ株式会社（外部）
パナソニック オートモーティブシステムズ株式会社のお知らせ。子会社が運営するバッテリー保証サービスの情報173件が漏洩した可能性を公表した。
株式会社SUBARU（外部）
株式会社SUBARUのお知らせ。コールセンター業務の委託先への不正アクセスで、受付件数228,734件分の情報が漏えいした可能性を公表した。
スバルファイナンス株式会社（外部）
スバルファイナンス株式会社のお知らせ。自動車保険のロードサービスの受付・手配の委託先への不正アクセスで、最大3,117件と公表した。
株式会社IDOM（外部）
株式会社IDOMのプレスリリース。ロードサービス業務の委託先への不正アクセスで、漏えいの疑いがあるデータ694件を公表した（別事案も掲載）。
株式会社２りんかんイエローハット（外部）
株式会社２りんかんイエローハットのお知らせ。２りんかんロードサービスなどの委託先への不正アクセスを公表した。項目は特定・精査中。
チューリッヒ保険会社（外部）
チューリッヒ保険会社のお知らせ。1月31日に委託契約を終えた委託先への不正アクセスで、当時の案件の個人情報が含まれたと公表した。
株式会社REXEV（外部）
株式会社REXEVのお知らせ。カスタマーセンター業務の委託先への不正アクセスで、問い合わせ記録547件の情報が漏えいした可能性を公表した。
ビー・エム・ダブリュー株式会社（外部）
ビー・エム・ダブリュー株式会社とビー・エム・ダブリュー・ジャパン・ファイナンス株式会社のお知らせ。対象人数は特定できていないとした。
個人情報保護委員会「最近の不正アクセスによる個人データの漏えい等の傾向」（第374回 参考資料2）（外部）
個人情報保護委員会 第374回の参考資料2。不正アクセスによる漏えい等報告の集計で、委託元と委託先の双方が報告する場合があると注記している。
個人情報保護委員会「個人情報の保護に関する法律についてのガイドライン（通則編）」（外部）
個人情報保護委員会の通則ガイドライン。データ内容の正確性の確保等（第22条）、安全管理措置（第23条）、委託先の監督（第25条）を解説する。
e-Gov法令検索「個人情報の保護に関する法律」（外部）
e-Gov法令検索の個人情報の保護に関する法律。第22条（消去の努力義務）、第23条、第25条（委託先の監督）の条文を確認できる。
