個人情報流出・不正アクセスを防ぐには？AI時代のセキュリティ対策と初動対応

「個人情報が流出した」というニュースを見ても、自分が何を確認すればよいのか分からない。仕事や勉強でAIを使うようになり、資料をどこまで入力してよいか迷っている方もいるのではないでしょうか。

個人情報を守るには、不正ログインへの対策に加えて、自分が情報を送信・共有する場面も確認することが大切です。パスワードを強化していても、共有範囲の設定ミスや、AIへの不用意なファイル添付によって情報が外へ出る可能性があります。

この記事では、個人情報流出と不正アクセスの違い、日常で見直したい設定、AIを利用するときの確認事項を整理します。被害が疑われる場合の初動も、状況に分けて説明します。

１．個人情報流出と不正アクセスは、どう違う？

個人情報の流出・漏えいは、情報が本来許可されていない相手へ渡ったり、見られたりする問題です。一方、不正アクセスは、権限のない人がアカウントやシステムへ入り込むなどの問題であり、ここでは対策を考えるための一般的な意味で使います。

不正アクセスによって個人情報が盗まれることはありますが、流出の原因が必ず不正アクセスとは限りません。メールの誤送信、ファイルの公開設定、端末の紛失なども、情報が外へ出るきっかけになります。

対策を選ぶときは、「何が盗まれるか」だけでなく、どこに保存され、誰が見られ、どの操作で外へ送られるかを確認しましょう。原因が違えば、優先して直す場所も変わります。

２．まず守りたいのは、メールと重要なアカウント

パスワードの使い回しをやめ、認証を強化する

複数のサービスで同じパスワードを使うと、一つのサービスから流出した情報が、別のサービスへのログインに悪用されるおそれがあります。サービスごとに異なる、長く推測されにくいパスワードを設定してください。

対応するサービスでは、多要素認証やパスキーも利用しましょう。多要素認証は、パスワードなどの知識と、端末などの所持情報といった異なる要素を組み合わせて本人確認を行う仕組みです。

ただし、認証機能を有効にした後も、他人へ認証コードを教えたり、心当たりのないログイン要求を承認したりしないことが必要です。端末をなくした場合の復旧方法も、公式の案内で確認しておきましょう。

メールは、他のアカウントの復旧にも使われる

メールアカウントには、連絡先や添付ファイルだけでなく、他のサービスから届くパスワード再設定の案内も集まります。そのため、メールを読まれると、別のアカウントにも影響が広がる場合があります。

普段使うメールについては、認証設定とあわせて、再設定用の連絡先や転送設定を確認してください。身に覚えのない設定変更やログインがあれば、サービスの公式手順に沿って対応します。

３．メール・共有リンク・端末の設定を見直す

自然な文章や見慣れた名前だけで信用しない

生成AIは自然な文章などの作成にも利用できるため、不自然な日本語を探すだけでは、詐欺への対策として十分ではありません。知人の名前や見慣れたロゴが使われていても、本物だと決めつけないようにします。

「アカウントを停止する」「今すぐ本人確認が必要」といった連絡が来たら、メッセージ内のリンクから操作を続けず、普段使っている公式アプリや、確認済みの公式サイトから状況を調べてください。送金や重要情報の提出を求められた場合は、以前から把握している連絡先など、別の経路でも確認します。

共有リンクは、送った相手以外にも開ける場合がある

資料のURLを特定の人へ送ったことと、その人だけが資料を開けることは別です。「リンクを知っている全員」という設定では、URLが転送されることで、想定外の相手が閲覧できる場合があります。

個人情報を含む資料は、必要な相手だけに共有し、閲覧だけでよいのか、編集も必要なのかを分けます。案件の終了や担当者の変更に合わせて、不要な権限を外すことも大切です。

更新とバックアップは、目的を分けて行う

OS、ブラウザ、アプリなどの更新は、既知の弱点への対策になります。更新が止まっていないか確認し、サポートが終了した製品は移行を検討してください。

バックアップは、データの削除や暗号化、機器の故障などに備えるためのものです。バックアップがあっても、盗まれた情報の流出を取り消せるわけではありません。アクセス制限と、データを復元できる備えを組み合わせましょう。

４．AIに個人情報を入力する前に確認したいこと

「入力できる」と「入力してよい」を分ける

AIがPDFや表計算ファイルを読み取れるとしても、その資料を送信してよいとは限りません。仕事や学校の情報を扱う場合は、利用を認められたサービス・アカウント・情報の範囲を先に確認します。

また、「学習に利用されない」という条件だけでは、保存期間、閲覧できる人、外部連携先への送信まで分かりません。利用するプランと機能に適用される説明を確認し、不明な場合は管理担当者へ相談してください。

具体例：相談記録から返信の下書きを作る場合

例えば、学習塾で保護者への返信案を作る場面を考えます。以下は入力範囲を考えるための架空の例であり、実際の相談記録ではありません。

返信の構成を相談するだけなら、生徒の氏名、学校名、電話番号、詳しい家庭事情まで必要とは限りません。「中学生の保護者から、宿題の提出が続かないことについて相談があった」のように、目的に必要な状況へ整理できる場合があります。

ただし、名前を「Aさん」に置き換えただけで、本人が特定されなくなるとは限りません。学校名、所属、出来事、日時などの組み合わせから分かる場合もあるため、不要な情報は最初から含めないことを基本にします。

文章だけでなく、添付ファイルの別シート、コメント、画像に写り込んだ氏名なども確認してください。送信後に「個人情報を消して」とAIへ依頼する方法は、送信前の確認の代わりにはなりません。

AIによる確認は、補助として使う

AIにチェック項目や研修用の架空事例を作ってもらうことはできます。一方で、「この資料に個人情報がないか調べて」と、未確認の資料をそのまま外部AIへ送ると、確認のために情報を外へ渡すことになります。

入力してよい範囲を先に決め、AIの回答も人が確かめてください。「AIが安全だと言った」という理由だけで、公開や送信を決めないことが大切です。

５．個人情報流出や不正アクセスが疑われたときの初動

対応は、パスワードを入力した場合、アカウントが使われた場合、資料を誤って送った場合で異なります。業務や学校の情報が関係する場合は、被害が確定するまで待たず、決められた窓口へ速やかに連絡してください。

偽サイトにパスワードや認証コードを入力した場合

疑わしいサイトでの操作を中断し、公式サイトや公式アプリからアカウントの保護手順を確認します。パスワードを入力した場合は変更し、同じものを使っている他のサービスも変更してください。

認証コードまで渡した場合は、既にログインされている可能性も考えて確認します。ログインできない場合は、公式のアカウント復旧手続きを利用し、カード情報を入力した場合はカード会社にも速やかに相談します。

身に覚えのないログインや設定変更がある場合

パスワードの変更に加えて、ログイン中の端末、再設定用の連絡先、連携アプリなどを確認します。メールでは転送設定も点検し、不審な端末のログアウトや設定の修正を、サービスの案内に沿って行ってください。

端末自体の感染が疑われる場合は、その端末から新しい認証情報を入力することを避け、別の信頼できる端末や管理担当者の支援を利用します。職場の端末を自己判断で初期化すると調査に必要な情報が失われる場合があるため、担当者の指示を確認してください。

資料を誤送信・公開・AI入力してしまった場合

まず追加の送信や共有を止め、組織の手順に従って共有リンクの無効化などを進めます。同時に、送信日時、送信先、資料の種類、設定状態、実施した対応を記録し、管理担当者へ伝えます。

AIへの誤入力では、サービス名、利用アカウント、入力した情報、共有や外部連携の有無を整理してください。画面上で会話を削除できても、それだけで保存先からの完全な削除を確認したことにはなりません。管理者やサービス提供者へ、削除・保持の扱いを確認します。

なお、許可された条件でAIを利用したことが、直ちに情報漏えいを意味するわけではありません。何が起きたのかと、どの範囲に情報が渡ったのかを分けて調べ、事業上の事故では、報告・本人通知などの要否も担当部門が確認します。

６．今日から確認するセキュリティチェックリスト

一度にすべてを変えるのが難しい場合は、まず主要なメールアカウントと、普段使う共有フォルダ・AIサービスを一つずつ確認してください。設定を変更したら、復旧方法や利用手順も残しておくと、継続して管理しやすくなります。

• 重要なアカウントで、パスワードを使い回していない。
• 対応サービスで、多要素認証やパスキーを設定している。
• 認証コードを他人へ教えず、不審な認証要求を承認しない。
• メールやSMSの案内は、公式アプリなど別の経路から確認する。
• 個人情報を含む資料の共有先と権限を把握している。
• OSやアプリの更新、サポート状況を確認している。
• AIへ入力できる情報と、利用できるサービスが分かっている。
• 添付資料の別シートや画像の写り込みも確認している。
• 必要なデータのバックアップと復元方法を確認している。
• 不審な操作や誤送信に気づいたときの連絡先が分かっている。

このチェックリストは、日常の点検を始めるためのものです。扱う情報や役割に応じて必要な項目を追加し、サービスや利用方法を変えたときにも見直しましょう。

７．個人情報流出・不正アクセスに関するよくある質問

個人情報が流出したという通知が来たら、どうすればよいですか？

通知自体が本物か、サービスの公式アプリや確認済みの公式サイトから調べます。本物と確認できたら、流出した情報の種類と事業者の案内を確認し、パスワードの変更や不正利用の確認など、必要な対応を行ってください。

名前を消せば、個人情報をAIへ入力しても大丈夫ですか？

名前以外の情報から、本人が分かる場合があります。入力する目的に不要な情報を取り除いたうえで、そのサービスへ送信してよいかを確認してください。名前の置き換えだけで、安全性や利用の適否は判断できません。

AIに「このメールは詐欺ですか」と聞けば判断できますか？

不審な点を整理する補助にはなりますが、AIの回答だけで真偽を確定することはできません。また、メールには個人情報や秘密のリンクが含まれる場合があるため、外部AIへ本文を送る前にも確認が必要です。

セキュリティソフトを入れていれば安心ですか？

セキュリティソフトは対策の一つですが、誤送信や共有範囲の設定ミスまで一律に防ぐものではありません。認証、更新、共有設定、送信前の確認などを組み合わせてください。

８．情報を守る第一歩は、保存先と送信先を把握すること

個人情報を守るには、アカウントへの侵入を防ぐことと、自分が情報を渡す場面を確認することの両方が必要です。AIを使う場合も、入力内容とサービスの条件を確認する基本は変わりません。

まずは、普段使っているメール、共有フォルダ、AIサービスを一つ選んでください。「誰が使えるか」「何が保存されているか」「どこへ送られるか」を確認し、不明な設定を一つずつ解消していきましょう。

参考資料

• IPA：インターネットサービスへの不正ログインによる被害が増加中
• IPA：AI利用者のためのセキュリティ豆知識
• IPA：情報セキュリティ６か条（解説編）
• 個人情報保護委員会：生成AIサービスの利用に関する注意喚起等
• Google：ハッキングまたは不正使用されたGoogleアカウントを保護する