企業の情報漏えい発表で何を読む？第1報と続報を分ける確認表

取引先から「情報漏えいに関するお知らせ」が届くと、経営者は「自社のデータも危ないのではないか」「取引を継続してよいのか」と不安になります。しかし、発表された情報をそのまま鵜呑みにして慌てるのは得策ではありません。

まず最初に行うべきことは、その発表が「第1報（最初の報告）」なのか「続報（調査が進んだ後の報告）」なのかを判別し、書かれている内容が「確定した事実」なのか「調査中の可能性」なのかを仕分けることです。

例えば、タイムズカーの事例（2026年9月28日に公表された第2報）では、第1報で「漏えいの可能性」とされていた内容が、第2報で「一部の会員様情報が取得されたこと」を示す形に更新されています。このように、情報の精度は時間の経過とともに変化します。まずは、手元にある資料がどの段階のものかを整理することから始めましょう。

発表の段階によって注目すべき情報の違いとは

第1報では「事象の発生」と「初動」を確認する

第1報は、事件が発覚した直後に出されるものです。この段階では、まだ詳細な調査が終わっていないことが多く、情報の多くは「〜の可能性がある」といった推測の域を出ない表現が含まれます。経営者が読むべきは、いつ、どのような形で不正アクセスなどの異常を検知したのか、そして会社が直ちにどのような遮断措置をとったのかという「初動の速さ」です。

例えば、不正アクセスを検知してから、攻撃元との通信を遮断するまでにかかった時間などは、その企業のセキュリティ管理体制を測る一つの目安になります。ただし、第1報の段階で「被害は軽微である」という記述があっても、それは現時点での見解に過ぎません。確定事項ではないことを念頭に置き、まずは「何が起きているのか」という状況把握に留めるのが実務的な判断です。

続報では「漏えいした情報の種類」を精査する

調査が進むと出されるのが続報です。第1報との最大の違いは、漏えいした情報の項目が具体的に特定されている点にあります。氏名、住所、メールアドレスといった基本情報だけでなく、運転免許証の画像や、特定のサービスとの連携IDが含まれているかどうかは、自社への影響を判断する上で極めて重要な情報となります。

例えば、パーク24の第2報では、パスワードが「復元できない形式」で保管されていることや、現時点でパスワードそのものが第三者に認識可能な状態で漏えいした事実は確認されていないといった、情報の性質に関する詳細な説明が加えられています。

このように、漏えいしたデータが「それ単体で悪用できるものか」「他の情報と組み合わせると危険か」という情報の質を読み取ることが、続報における最も重要な作業です。これにより、自社の従業員や顧客に対して、どのような注意喚起を行うべきかの判断材料が得られます。

調査中の項目をリストアップして待ち構える

発表資料に「現時点で判明している内容」とある場合は、その発表日時点の説明として読みます。これは、まだ調査が終わっていない項目があることを示しています。例えば、「クレジットカード情報の漏えいは確認されていない」という記述があったとしても、それは「調査中であり、現時点では見つかっていない」という意味であり、調査完了を保証するものではありません。

経営者がすべきことは、発表の中で「調査中」や「今後判明次第公表」とされている項目をメモしておくことです。これらをリスト化しておくことで、次回の発表が出た際に、前回から何が進展したのか、あるいは懸念事項が解消されたのかを、迷わずに比較できるようになります。情報の空白部分を意識しておくことが、情報の波に飲み込まれないための防衛策となります。

自社への影響を判断するための具体的な視点

漏えいした情報の項目と自社の利用状況を照らし合わせる

発表された漏えい情報のリストを見て、自社がそのサービスをどのように利用しているかを具体的にイメージします。単に「個人情報が漏れた」と捉えるのではなく、「自社のどの部署が、どのような目的で、どのデータを使用しているか」を紐付ける作業です。

例えば、法人会員として利用している場合、自社の社員の氏名や所属部署名、あるいは運転免許証の画像などが含まれていないかを確認します。

もし、業務で利用している重要な認証情報や、決済に関わる情報が含まれている場合は、即座に社内のシステム担当者や調達担当者へ共有する必要があります。逆に、漏えいした情報が「退会済みのユーザー」に限定されていることが判明すれば、現在進行中の業務への直接的なリスクは低いと判断できるかもしれません。

情報の項目と自社の利用実態を重ね合わせることが、リスクの大きさを測る第一歩です。

影響を受ける対象者の範囲を特定する

次に、漏えいした「対象者」が誰であるかを確認します。発表資料には、対象となるアカウント数や、会員の種類（一般会員、法人会員、退会済み会員など）が記載されています。自社の従業員がその対象に含まれているのか、あるいは自社が顧客として契約しているデータが対象なのかを切り分けます。

例えば、特定のサービスにおいて「法人会員のみが対象」と明記されていれば、自社の組織的な契約内容に直結する問題として扱うべきです。一方で、対象が「過去の特定の期間の利用者」に限定されている場合は、現在の業務フローへの影響は限定的かもしれません。

対象者の範囲を正しく理解することで、全社的な警戒を行うべきか、特定の部署への注意喚起に留めるべきかという、リソース配分の判断が可能になります。

サービス提供への継続性と二次被害の可能性を考える

情報漏えいが発生しても、サービス自体は継続されるケースが多くあります。発表資料の中に「各種サービスは通常どおり継続しております」といった記述があるかを確認してください。これにより、業務への直接的な遮断リスクがあるかどうかを判断できます。しかし、サービスが動いていても、二次被害のリスクは別途存在します。

二次被害とは、漏えいした情報を悪用した「なりすましメール」や「不審な電話」などのことです。発表資料に「当社を装ったメールにご注意ください」といった注意喚起がある場合、それは攻撃者が情報を利用して接触してくる可能性を想定していることを意味します。

サービスが使えるからといって安心せず、従業員に対して「不審な連絡への警戒」という具体的な行動指針を出す必要があるかどうかを検討してください。

担当部署へ確認すべき質問と指示の出し方

IT・システム担当者へ送る技術的な確認事項

経営者が直接、技術的な詳細を調査するのは困難です。そのため、社内のIT担当者や情報システム部門に対して、発表内容に基づいた具体的な質問を投げることが重要です。単に「大丈夫か？」と聞くのではなく、発表資料にある具体的な項目を引用して質問しましょう。

例えば、「今回の発表ではパスワードは復元できない形式だったとあるが、我が社のシステムで利用している認証方式と比較して、同様の安全性は確保されているか？」「漏えい経路として挙げられている不正アクセスの手法は、我が社のネットワーク防御策で検知可能なものか？」といった聞き方をします。

このように、発表内容を「自社の防御策」という物差しで測るよう指示することで、担当者はより具体的で実務的な回答を準備できるようになります。

調達・総務担当者へ送る契約・管理上の確認事項

調達部門や総務部門が取引先との契約関係を管理している場合、業務継続性と管理体制の観点から指示を行います。ここでは、技術的な詳細よりも「契約上の義務」や「今後の取引判断」に焦点を当てます。

具体的な質問例としては、（1）本件が契約書に定められたセキュリティ要件に抵触する可能性があるか、（2）相手方に対して個別の影響調査報告書や再発防止策の提示を求める必要があるか、が挙げられます。

また、個人情報保護委員会への報告要件（例として、漏えい対象者が1,000人を超えるケース）が相手方に該当するかどうかは、最新のガイドラインや事案の具体的内容を確認した上で判断してください。これらの確認を通じて、取引継続の判断材料を集めます。

従業員への周知内容と具体的な行動指示

リスクが確認された場合、あるいは注意喚起が必要と判断した場合は、従業員に対して「何をすべきか」を明確に伝えます。不安を煽るのではなく、具体的な「回避行動」をセットで伝えることがポイントです。

例えば、「〇〇社のサービスから漏えいの可能性があるとの発表がありました。現在、業務への影響はありませんが、〇〇社を名乗る不審なメールや、パスワードの入力を求める連絡が届いた場合は、決して開かずに情報システム部へ報告してください」といった指示です。

発表資料にある「避けるべき行動（リンクを開かない、情報を入力しない等）」をそのまま活用し、自社の状況に合わせて翻訳して伝えることで、従業員の混乱を防ぎつつ、実効性のある対策を講じることができます。

適切な判断を下すための比較基準と相談先

複数の発表資料を比較して情報の変化を追う

一つの発表だけで判断を下すのは危険です。必ず「第1報」と「第2報」を並べて、何が「新しく判明したか」を比較してください。情報の変化から、自社の対応に影響する対象範囲や案内の更新を追えます。発表の間隔や情報量だけで調査能力や隠蔽の有無を判断せず、不明点は正式な窓口へ照会してください。

比較の際は、以下の表のような観点で整理するとスムーズです。

以下は比較表の記入方法を示す仮の例です。実際の発表内容を転記した表ではありません。

確認項目	初回発表の記入例	続報の記入例	確認する変化
漏えいの確定度	可能性がある	確認した	確定（重要）
漏えいした情報の種類	未特定	氏名、住所等	具体化（重要）
影響する対象の数え方	調査中	アカウント数として公表	人数との違いも確認
再発防止策の提示	未定	続報で公表予定	未完了

このように、情報の「解像度」が上がっているかどうかを確認することが、冷静な判断を下すための鍵となります。

専門家や公的機関の情報を判断の補完に使う

自社内での判断に迷ったときは、個別の企業の発表だけでなく、公的な指針を照らし合わせることで、事態の深刻さを客観的に測ることができます。例えば、個人情報保護委員会の資料にある「漏えい報告が必要なケース」に、その事案が該当しているかどうかを確認することは、相手企業の対応の妥当性を判断する基準になります。

例えば、今回の事例のように「1,000人を超える漏えい」や「不正アクセスによる情報窃取」に該当する可能性がある場合、個人情報保護委員会への報告が求められることがあります。相手が適切に公的機関へ報告し、公表を行っているかどうかは、企業の危機管理体制を評価する一つの指標となります。

ただし、公的情報は一般的な指針を示すものであり、個別企業の被害状況を直接的に断定するものではありません。したがって、報告の有無や内容は、あくまで判断材料の「補助」として活用してください。

最終的な判断に迷った際の相談ルートを確保する

「取引を停止すべきか」「従業員にどこまで周知すべきか」といった経営判断は、一人の判断で行うには重すぎる場合があります。判断を下す前に、あらかじめ社内の相談ルートを明確にしておきましょう。

具体的には、顧問弁護士（法的リスクの確認）、ITコンサルタント（技術的な安全性の確認）、あるいは社内のリスク管理委員会といったルートです。判断を急ぐあまり、不正確な情報に基づいて誤った指示を出すことが最大の経営リスクです。

「現時点では情報が不足しているため、続報を待ってから最終判断を下す」という選択肢も、立派な判断の一つであることを忘れないでください。自社の状況を整理し、どの段階の情報を必要としているかを明確にすることから始めてください。