個人情報漏洩
主な個人情報漏洩事件 > 2019年

| 0 | 1 | 2 | 3 | 4 | 5 |
| --- | --- | --- | --- | --- | --- |
| 日付 | 法人・団体名 | 件数・人数 | 漏洩原因 | 漏洩内容・詳細・二次被害（悪用）など | 出典 |
| 2019/12/06 | 神奈川県庁 | HDD18台分のデータ | 過失 | 2019年12月6日報道。神奈川県庁で個人情報や機密情報を含む行政文書の保存に使われていたHDD(ハードディスクドライブ)、9個がオークションサイトで転売され情報が流出した。神奈川県とサーバ等のリース契約を結んでいる富士通リースが、2019年春に県にリースしているサーバからこのHDDを取り外し、契約に基づいてHDDの処分をブロードリンクに委託した。このブロードリンクの担当者がHDDの一部を持ち出しオークションサイトで転売、これを購入したIT企業経営の男性がHDDの中身を確認したところ神奈川県の公文書と思われるデータを発見し、新聞社に情報提供、情報提供を受けた新聞社が県に確認し、流出が判明した。6日午前の県の発表によると持ち出されたHDDは計18個で、内9個の所在が記事作成時点(2019年12月6日)で確認できていない。(詳細は2019年神奈川県HDD転売・情報流出事件を参照のこと) |  |
| 2019/12/05 | 象印ユーサービス株式会社 (象印マホービン株式会社の子会社)  (流出元したのは同社ECサイト「象印でショッピング」の顧客情報) | 最大28万52件 | 不正アクセス | 2019年12月5日象印マホービン株式会社発表。同社子会社の象印ユーサービス株式会社が運営するECサイト「象印でショッピング」の顧客情報が脆弱性を悪用した不正アクセスにより流出した。流出したのは、「氏名、住所、注文内容(商品、金額等)、配送先情報、メールアドレス等」の個人情報、最大28万0052件。また、流出したメールアドレス宛てにクレジットカード情報窃取を目的としたと思われる不審なメールの送信が確認され、ここに情報を入力した一部顧客のクレジットカード情報(カード名義人名、クレジットカード番号、有効期限、セキュリティコード)が流出した可能性もある。 |  |
| 2019/10/27 | ドワンゴ | 不明 | 不正アクセス | 2019年10月27日ドワンゴ発表。同社サービス「ニコニコ動画」への不正アクセス(リスト型アカウントハッキング)が発生した。 |  |
| 2019/10/25 | アドビ | 約750万件 | 設計ミス | 2019年10月25日アドビ発表。Adobe Creative Cloudのメールアドレスを含む顧客情報、約750万件が脆弱性が原因で公開された状態になっていた。パスワードは含まれていなかった。 |  |
| 2019/10/24 | スターバックス コーヒージャパン | 数件 | 不正アクセス | 2019年10月24日スターバックス コーヒージャパン発表。会員ページ「My Starbucks」への不正ログインを確認した。 |  |
| 2019/10/18 | メルセデス・ベンツ (流出元は同社製アプロ「Mercedes me connect」) | 不明 | 設計ミス | 2019年10月18日発生。自動車の状態の確認や遠隔操作が可能なアプリ「Mercedes me connect」で他人の情報が表示される状態になった。表示された他人の情報は「車両のモデルやカラー等の車両情報、車の利用履歴等のアクティビティ、ユーザー名、メールアドレス、住所」等。ただし、実際に他人の車を遠隔操作することは出来なかったとされる。 |  |
| 2019/09/27 | DoorDash(ドアダッシュ) | 490万人分 | 不正アクセス | 2019年5月4日発生、同年9月27日DoorDash発表、同日報道。フードデリバリーサービス「DoorDash」から顧客・従業員などの個人情報合計490万人分が漏洩した。漏洩したのは「氏名、メールアドレス、住所、注文履歴、電話番号、クレジットカードの下四桁など」および、配達従業員約10万人分の「運転免許証情報」。 |  |
| 2019/09/27 | Amazon.co.jp | 約11万件 | 不明(2019/9/27時点) | 2019年9月26日報道。26日、不明な理由により、Amazon.co.jpの会員ページ(注文履歴など)に自分のものではなく他人の情報が表示される事象が複数報道されている。流出しているのは「注文履歴、住所、氏名など」の個人情報で、Amazon(アマゾンジャパン合同会社)もこの問題を認識しているが、記事作成時点では件数、原因ともに発表されていないため詳細は不明。10月11日、個人情報保護委員会の発表によると、約11万件のアカウントの個人情報が流出した。 |  |
| 2019/09/20 | 宮城県仙台市 (流出元は宮城野区内の市立中学校(校名非発表)) | 23人分 | 確認不足、誤使用、誤配布 | 2019年9月20日宮城県仙台市発表。流出したのはいじめ被害者6名、加害者17名の合計生徒23名分の個人情報で「氏名、性別、欠席日数、事案内容、指導内容、対応結果」などの個人情報が含まれていた。流出は上記の情報が記載された「平成30年度いじめ事案集計表」を裏紙として利用した印刷物を誤って生徒に配布したために発生した。 |  |
| 2019/09/18 | LINE Credit (流出したのは、LINE株式会社傘下LINE Credit株式会社のサービスLINE Pocket Moneyの顧客情報) | 280人分 | 誤送信 | 2019年9月18日LINE Credit株式会社発表。流出したのは、LINE株式会社傘下LINE Credit株式会社のサービス「LINE Pocket Money」の顧客個人情報、280人分で、第三者が閲覧可能なLINE株式会社のサービス「OpenChat」のグループに個人情報280人分を含んだExcelファイルを担当者が誤って送信したことにより情報が流出した。流出したのは「氏名、生年月日、自宅電話番号、携帯電話番号、LINE Credit社で扱う各種管理番号、指定信用情報機関から取得した情報の一部」。 |  |
| 2019/09/17 | Novaestrat(ノバエストラット)(エクアドルのコンサルティング会社) (流出したのはエクアドルの国民のデータ) | 2000万人分以上 | 設計ミス | 2019年9月17日報道。この漏洩を最初に報告したvpnMentorによると、流出したのは「エクアドルの全国民と死亡したエクアドル国民数百万人分のものと思われる個人情報2000万人分以上」で、Novaestratの米国のサーバーに無防備な状態で保存されていたとしている。流出した情報には「氏名、生年月日、(死亡している場合は)死亡日、住所、出生地、メールアドレス、電話番号、婚姻に関する情報、銀行口座残高、口座の種類、国民識別番号(日本でいうところの個人番号)、納税者識別番号、雇用主、雇用開始日、雇用終了日、役職、給与情報、車のナンバー、企業の情報、家族に関する情報など」が含まれていた。また、今回流出した情報の中には、2012年から2019年まで在英エクアドル大使館、に亡命していたウィキリークス編集長のジュリアン・アサンジの情報も含まれていた。 |  |
| 2019/09/05 | (管理者不明のデータベース) (流出したのはFacebookのユーザーデータ) | 4億1900万件以上 | 設計ミス | 2019年9月4日報道。パスワードが設定されずにオンラインに公開されていた管理者不明のデータベースで4億1900万以上のFacebook IDと関連付けられた電話番号等の情報が公開状態となっていた。流出したのは「Facebook ID、電話番号、名前、性別、居住国など」。(2019年9月時点でデータベースの管理者が不明のため管理者によるコメントや発表はない) |  |
| 2019/09/05 | セガ・インタラクティブ(流出したのはmaimaiのアクセスコードとプレイヤー名) | 3255件 | 不正アクセス | 2019年8月24日発生、2019年9月5日セガ・インタラクティブ発表。セガ・インタラクティブが運営する「maimai動画作成サービス」に対して不正アクセスが実行され、2017年12月31日までに「maimai MURASAKi」をAime、バナパスポートカード、おサイフケータイを使用してプレイし、かつ「maimaiNET」を利用した3255名のアクセスコード並びに「maimai」上のプレイヤー名が流出した。但し、バナパスポート利用時のおサイフケータイのアクセスコードは流出していない。 |  |
| 2019/08/26 | Hostinger | 約1400万件 | 不正アクセス | 2019年8月26日報道。ホスティングサービスのHostingerへの不正アクセスにより、約1400万件のレコードが格納されたAPIデータベースの情報が流出した可能性がある。 |  |
| 2019/08/23 | 三井住友カード (三井住友カード Vpassアプリ) | 1万6756件 | 不正アクセス | 2019年8月19日確認、2019年8月23日三井住友カード発表、同日報道。不正アクセス(リスト型攻撃)が約500万回試行され、そのうち1万6756回で攻撃が成功したため、1万6756件の個人情報が漏洩した。漏洩したのは「氏名、カード名称、カード利用金額、カード利用明細、利用可能額、ポイント残高等」。 |  |
| 2019/08/09 | 平塚市 | 最低248件 | 故意 | 2019年8月8日報道。2019年現在現職の平塚市議会議員で、元平塚市職員の渡部亮議員が同市市役所のPCから個人情報、約3万1000件および248件を持ち出し、その後選挙活動に利用された可能性がある。流出したのは「氏名、住所、電話番号、銀行口座情報」など。同議員はこの内248件の情報を持ち出したことを認めている。 |  |
| 2019/08/05 | 横浜市立大学附属病院 | 3275人分 | 誤送信、規則違反 | 2019年8月5日報道。担当者が禁止されているにも関わらず、電子メールで医療情報を送信し、その際誤送信があり個人情報が流出した。流出したのは、2010年から2014年の間に同院を含む神奈川県内20病院で膀胱がんの手術を受けた患者3275人(3411件)の「氏名、生年月日、術後の治療、再発の有無など」医療情報を含む個人情報。 |  |
| 2019/08/05 | 川崎市中原区 | 50人分 | 誤送信 | 2019年7月26日発生、2019年8月5日報道。担当職員がイベントの抽選結結果を伝えるメールを送信する際に誤ってBCCではなく他人のメールアドレスが閲覧可能な状態で送信した。流出したのは50人分の「メールアドレス」。 |  |
| 2019/08/02 | E3 (コンピュータゲーム見本市) | 約2000人分 | 設計ミス | 2019年8月2日発表。ゲーム見本市「E3」のウェブサイトで、2019年6月11日から13日までの3日間開催されていた「E3 2019」の関係者約2000人分の個人情報が設定ミスにより公開状態となっていた。流出したのは、「E3 2019」に関係者として登録していた約2000人の「氏名、住所、電話番号、メールアドレスなど」の個人情報。 |  |
| 2019/07/29 | キャピタル・ワン (金融関連企業) | 約1億600万人 | 設計ミス、不正アクセス | 2019年7月19日発覚、2019年7月29日キャピタル・ワン発表。ファイヤーウォールの設定ミスを利用され、不正アクセスされた。流出したのは米国ユーザー約1億人およびカナダユーザー600万人の合計約1億600万人分の個人情報。流出した情報の種類は「氏名、住所、郵便番号、電話番号、メールアドレス、生年月日、自己申告による年収、信用スコア、貸し出し限度額、残高、支払履歴、連絡先情報」など。 |  |
| 2019/07/24 | クロネコメンバーズ (ヤマト運輸のサービス) | 3467件 | 不正アクセス | 2019年7月24日ヤマト運輸発表。同年7月23日に同社が同社サービス「クロネコメンバーズ」への不正アクセス(パスワードリスト攻撃)を確認し、不正アクセスに利用されたIPアドレスからのアクセスを遮断した。不正アクセスにより個人情報が流出した。流出したのは「クロネコID、メールアドレス、利用の端末種別（パソコンまたは携帯・スマートフォン）、氏名、氏名ふりがな、電話番号、性別、郵便番号、住所、クレジットカード情報（カード番号の下4桁・有効期限・氏名）、アドレス帳情報（氏名・住所・電話番号）」など3467件。 |  |
| 2019/07/24 | コーナンPay (コーナンの支払いサービス) | （未記載） | 不正アクセス | 2019年7月24日コーナン発表。同年7月23日に同社が同社支払いサービス「コーナンPay」への不正アクセスを確認した。同不正アクセスでによる不正ログインが確認されているが、情報漏洩の詳細は不明。同社はサービスの提供を一時停止している。(2019年７月25日時点) |  |
| 2019/07/03 | 7pay (セブン&アイ・ホールディングス子会社セブン・ペイの決済サービス) | 約900件 | 設計ミス、不正アクセス | 同サービスは2019年7月1日にサービスを開始し、その3日後の7月3日に漏洩が報道された。流出したのは7payユーザーの個人情報約900名分。また、同時にアカウントに関連付けられたクレジットカード、デビットカードが不正に利用され、約5500万円が不正利用される被害が発生した。(件数、被害額は共に2019年7月4日6時時点のもの)  2019年7月30日、セブン＆アイ・ホールディングスは不正利用に伴い、すべての7iD会員約1,650万人のパスワードを強制リセットした。 2019年8月1日、株式会社セブン・ペイはサービスの継続は難しいとして同年7月1日にサービスを開始した支払いサービス「7pay」を同年9月30日で廃止すると発表した。 2019年9月27日、株式会社セブン・ペイは同年9月30日24時に同サービスを終了するにあたり、「7Payに残高が残っており」、「サービスを退会しておらず」、「7iDのパスワードを変更した」利用者に限り、同年10月1日から翌年1月10日までに、専用メールフォームから申請することで、残高を払い戻すと発表した。 |     |
| 2019/06/26 | オリエンタルランド | 7438件 | 設計ミス | 2019年6月23日発覚、同年同月26日オリエンタルランド発表、同日報道。流出したのは、東京ディズニーリゾート内で撮影された写真7438件で内1549件が実際に閲覧された。流出原因は、2019年6月7日から21日配布分と同月22日から24日配布分に、写真へのアクセスに利用する番号に重複があったためで、番号の重複があった利用者が番号が重複していた別の利用者の写真を閲覧できる状態だった。 |   |
| 2019/06/13 | 神奈川県立三浦初声高等学校 | 220人分 | 書類紛失 | 2019年5月10日発覚、神奈川県教育委員会が2019年6月13日に発表、同日報道。流出した可能性があるのは神奈川県立三浦初声高等学校、2016年度(平成28年度)入学生の「学校名、生徒氏名、修得単位数、評定、出欠の記録、特別活動の記録、指導上参考となる諸事項等が記録されている生徒指導要録の写し(4クラス128人分)」、「生徒氏名、評定、修得単位数、出欠の記録等が記録されている通知表の写し(1クラス33人分)」、「学校名、生徒氏名、性別、生年月日、現住所、修得単位数、評定、出欠の記録、特別活動の記録、指導上参考となる諸事項等が記録されている調査書の原稿(2クラス59人分)」に記載された合計220人分の個人情報。 |   |
| 2019/06/10 | Perceptics (流出したのはアメリカ合衆国税関・国境警備局が管理するデータ) | 約10万人 | 不正アクセス | 2019年6月10日報道。CBP(アメリカ合衆国税関・国境警備局)の下請業者である「Perceptics」がCBPに許可を得ずにコピー・保存していた、「米国に車で出入国した人々」の顔写真、車のナンバープレートなどの情報が不正アクセスにより漏洩した。アメリカ自由人権協会のネーマ・シング・グリアン上級法務顧問は本件について「機密性の高い個人データの侵害を未然に防ぐ最善の方法は、そもそも収集しないことです」と述べている。 |   |
| 2019/05/29 | ヤマダ電機 | 最大3万7832件 | 不正アクセス | ヤマダ電機が2019年4月16日に漏洩を把握、同年5月29日に発表。2019年3月18日から同年4月26日の間に同社サイトにおいてクレジットカードの新規登録、登録変更を行った最大3万7832人の個人情報が流出した可能性があり、流出した可能性のある情報は、クレジットカード番号、有効期限、セキュリティコードで、そのクレジットカード情報の一部が不正利用された可能性がある。 |       |
| 2019/05/20 | Chtrbox (流出したのはInstagramのユーザーデータなど) | 4900万件以上 | 設計ミス | 2019年5月20日報道。マーケティング企業「Chtrbox」からInstagramおよびその他SNS、ブログなどのインフルエンサーに関する4900万件以上の情報が流出した。流出したのは、履歴、プロフィール画像、フォロワー数、検証状態、国、都市、などの公開データ、電子メール、電話番号などの未公開データおよびインフルエンサーのスコアなど。 |    |
| 2019/05/13 | ファーストリテイリング ユニクロ ジーユー | 46万1091件 | 不正アクセス | 2019年5月10日確認、ファーストリテイリングが2019年5月13日に発表。2019年4月23日から同年5月10日の間にリスト型攻撃により同年5月13日時点で46万1091件のアカウントに不正ログインがあったことが判明している。流出した個人情報の内容は、氏名、フリガナ、住所(郵便番号、市区郡町村、番地、部屋番号)、電話番号、携帯電話番号、メールアドレス、性別、生年月日、購入履歴、マイサイズ(身長、体重、ウエスト、ヒップ、足の長さ、足のサイズなど)、マイサイズ登録氏名、クレジットカード番号の一部、カード名義人、有効期限。 |       |
| 2019/04/03 | Cultura Colectiva At the Pool (流出したのはFacebookのユーザーデータ) | 5億4000万件以上 | 設計ミス | 米企業UpGuardが2019年4月3日に発表。メキシコの企業Cultura Colectiva、アプリAt the PoolのデータがそれぞれAmazon S3上でロックされずに公開状態となっていた。流出したのは、Cultura ColectivaからはFacebook上でのリアクション、アカウント名、Facebook IDなど5億4000万件以上、At the PoolからはFacebook ID、友達、音楽、映画、写真、グループ、チェックイン、At the Poolのものと思われる約2万2000人の生のパスワードデータなど。At the Poolから流出した情報には生(平文)のパスワードが含まれていたためこれを悪用して別のアカウントなどへの不正なログインなど、二次被害が発生する可能性がある。 |     |
| 2019/03/29 | 東京トヨタ自動車株式会社 東京トヨペット株式会社 トヨタ東京カローラ株式会社 ネッツトヨタ東京株式会社 トヨタメトロジック株式会社 レクサス小石川販売株式会社 ジャミール商事株式会社（レクサス練馬） トヨタ西東京カローラ株式会社 | 最大310万件 | 不正アクセス | 2019年3月21日に不正アクセスがあり、3月29日に発表。氏名、住所、生年月日、職業などの情報が流出した可能性がある。 |  |
| 2019/03/23 | ファミリーロケータ (React Appsが運営) | 23万8000人以上 | 設計ミス | 2019年3月23日報道、報道時点で運営者は流出を認めていない。流出したのはユーザー名、メールアドレス、プロフィール写真、平文のパスワード、本人とその家族のリアルタイムの位置情報、ユーザーが設定していた場合は自宅、職場などの名前と座標。流出原因は開発者がサーバにパスワードをかけていなかったため。 |  |
| 2019/03/20 | 神奈川県立横浜南陵高等学校 | 231人分 | 書類紛失 | 2019年3月14日発覚、神奈川県教育委員会が2019年3月20日に発表、同日報道。流出した可能性があるのは、英語資格検定試験に関する受験生徒全員分の試験結果および教員用一覧表8部に記載されていた、2年生231名分の個人情報(クラス、氏名、試験各項目の結果、成績概況等)。 |   |
| 2019/01/25 | 宅ふぁいる便 (オージス総研が運営) | 481万5399件 | 不正アクセス | 1月22日に運営元のオージス総研が"同社が認識していないファイル"がサーバー内に作成されていることに気が付き、1月23日にサービスを停止、1月25日に情報漏洩を確認、1月29日に問い合わせ先のフリーダイヤルを開設した。3月時点でもサービスは復旧していない。同社によると有料会員2万2569件、無料会員475万329件、退会者4万2501件の合計481万5399件の個人情報が漏洩した。流出した個人情報の内容は、氏名、ふりがな、ログイン用メールアドレス、ログインパスワード、生年月日、性別、 職業・業種・職種、居住地の都道府県名、メールアドレス2、メールアドレス3および"2005年～2012年の期間でのみ、利用者により入力された情報"(勤務先の都道府県名、勤務先の郵便番号、配偶者、子供)。また、今回の流出では既に利用を終了した"退会者"の情報も流出したほか、パスワードが暗号化されていなかったため生のパスワードデータが流出しており、流出した認証情報を悪用した別のサイトやサービスへの不正ログインなどの二次被害が発生する可能性がある。 |   |