個人情報漏えいとは、企業や団体が持つ氏名・住所・連絡先などの個人情報が、不正アクセスや誤送信、内部不正などによって第三者の手に渡る、または渡ったおそれがある状態のことです。製品やサービスの名前ではなく、事故（インシデント）を指す言葉です。そのため決まった「使い方」や「料金」はありません。問題になるのは、何が漏れたのか、組織がどう対応するのかです。
個人情報漏えいとは：法律上の「報告が必要な漏えい」
日本では個人情報保護法がルールを定めています。2022年4月に施行された改正法で、次のような漏えいは個人情報保護委員会への報告と本人への通知が義務になりました。要配慮個人情報が含まれる場合、クレジットカード番号などで財産的被害が出るおそれがある場合、不正アクセスなど不正な目的によるおそれがある場合、そして対象が1000人を超える場合です。
大事なのは、漏えいが確定していなくても「おそれ」の段階で対象になることです。ニュースで「漏えいした可能性」という表現が多いのは、この仕組みが背景にあると当サイトはみています（推測）。
最近の事例：何件、どんな情報が漏れたのか
ヤマト運輸は、通販の購入者が商品を受け取った後に支払う決済サービス「クロネコ代金後払い」が不正アクセスを受け、氏名や住所などの個人情報が計530万件超漏えいしたと明らかにしました。手口や漏えいした項目の全体は、当サイトでは確認できていません。
「銀のさら」などを展開するライドオンエクスプレスは、サイバー攻撃で最大約650万件の個人情報が漏えいした可能性があると公表しました。公式サイトとアプリは停止しています。
ニチレイは9月18日、7月に受けたサイバー攻撃について第7報を公表しました。確認された漏えいは約5万件です。内訳は、配送先の顧客が3308件、取引先の役職員が6849件、グループ従業員とその家族・求職者が4万3709件で、給与賞与や在留資格といった人事情報も含まれます。顧客だけでなく従業員の情報も対象になる点は、見落とされがちです。
エンジニア向け：発生したときの対応の流れ
一般的な流れは、検知、封じ込め（侵入経路の遮断やサービス停止）、影響範囲の調査、当局への報告、本人への通知、公表です。当局への報告は、発覚後すみやかに出す速報と、原則30日以内（不正な目的によるおそれがある場合は60日以内）に出す確報の2段階です。
ニチレイが「第7報」まで続報を出しているように、調査が進むにつれて件数や項目が更新されます。そのため、アクセスログや保管データの所在をすぐに追える状態にしておくことが、初動の速さを左右します。
企業にとっての費用：「料金」ではなく損失
漏えいに決まった価格はありません。発生した企業には、調査、本人への通知、問い合わせ窓口の設置といった直接の費用に加えて、サービス停止による売上の機会損失が生じます。ライドオンエクスプレスのサイトとアプリの停止がその例です。具体的な金額は事案ごとに大きく異なり、今回の事例では公表された数字を当サイトは確認していません。
企画・DX担当者にとっては、決済、配送、人事など個人情報を扱う業務を外部サービスに任せる場合でも、その委託先が漏えいの入り口になりうることが要点です。
投資家・利用者向け：誰が関わり、何に気をつけるか
個人情報漏えいは特定の企業が作る製品ではないため、「開発元」や「競合」はありません。関わるのは、漏えいを起こした事業者、報告を受ける個人情報保護委員会、そして調査や防御を担うセキュリティ事業者です。
利用者にとって身近なリスクは、漏れた情報を悪用した二次被害です。ニチレイも不審なメールへの注意を呼びかけています。自分が使っているサービスで漏えいが公表されたら、事業者の発表で対象の項目を確かめ、心当たりのない連絡には応じないことが基本です。
