ここ数週間、「会員情報が流出しました」というニュースを見ない日がありません。ゲーム会社、コンビニ、宅配、新聞社、ネットショップの仕組みまで、業種を問わず続いています。介護施設は直接の当事者ではないことが多いのですが、職員やご家族が使っているサービスが含まれている以上、まったくの他人事でもありません。この記事では、技術の細かい話はせず、管理者として今日見直せることを順に整理します。
情報漏えいはどれくらい起きているのか
東京商工リサーチの集計では、上場企業とその子会社で100万件以上の個人情報が漏えいした事故は、2026年は10月5日の時点ですでに10件にのぼり、2025年の1年間の6件を上回りました。同社はこれを「過去最悪のペース」としています。
その後も公表は続いています。10月6日から19日までの2週間だけでも、ITmedia エンタープライズのまとめでは30件を超える事案が並び、原因の多くは外部からの不正アクセスでした。10月22日には、カプコンが自社のサービスのアカウントについて、約1,177万件のメールアドレスなどが漏えいしたと公表しています。
数字の大きさよりも、介護の現場として目を向けたいのは、その中身です。
対策1：「流出のお知らせ」をかたるなりすましメールに気をつける
大きな流出のあとには、そのお知らせや「パスワードを変更してください」を装ったメールやSMSが出回りやすくなります。カプコンも公表の中で、不審なメールへの注意を呼びかけています。
施設で困るのは、職員が業務用のパソコンやスマートフォンで、そうしたメールのリンクを開いてしまうことです。個人のメールアドレスが漏れていても、それを入り口に、施設の端末や業務のシステムに入られることがあります。
職員に伝えることは、難しくありません。
- 「流出しました」「確認してください」というメールやSMSのリンクは押さない
- 確かめたいときは、メールからではなく、自分でいつもの公式アプリやサイトを開く
- 迷ったら、押す前に誰に聞けばいいかを決めておく
朝の申し送りや掲示で一言伝えるだけでも、押す人は減ります。
対策2：介護ソフトや業務システムのパスワードを使い回さない
流出したサービスのメールアドレスとパスワードの組み合わせは、ほかのサービスでも試されます。職員が個人のサービスと同じパスワードを、介護記録のソフトや勤怠のシステム、施設のメールに使っていれば、そこから業務のシステムに入られるおそれがあります。
見直すことは3つです。
- 業務のシステムのパスワードは、個人のものと分ける
- 一つのIDを複数の職員で共有していないか確かめる（誰が見たか追えなくなります）
- 使えるなら、ログインに2段階の確認（スマートフォンへの通知など）を入れる
全部を一度に変えなくても、まず「業務と個人で同じパスワードを使わない」の一つだけでも、守れる範囲は大きく変わります。
対策3：委託先（介護ソフト・ホームページの業者）に確認しておく
今回の一連の流出では、本体ではなく、委託先の会社のサーバーや端末から漏れた例が目立ちました。問い合わせの管理を任せていた会社のサーバー、委託先の職員のパソコンのウイルス感染、サーバーを運営する会社へのランサムウェア（データを人質に取る攻撃）などです。医療の分野でも、医療機関向けのサービスで患者の情報が対象になりうる不正アクセスが公表され、調べが続いています。
介護施設も、多くのことを外の会社に任せています。介護記録のソフト、ホームページや問い合わせのフォーム、メール、給与や勤怠のシステムなどです。
業者には、次のように聞いておくと、いざというときに慌てずに済みます。
- うちのデータはどこに保管されていて、誰が見られるか
- 不正アクセスや流出が起きたとき、いつ、誰に、どうやって知らせてくれるか
- 最近の一連の事案について、自社への影響を確かめているか
業者に送る文の例です。
> いつもお世話になっております。最近、情報の流出が多く報じられているため、確認させてください。①弊施設のデータの保管場所と、閲覧できる方の範囲、②不正アクセス等が起きた場合のご連絡の方法と目安の時間、③最近の一連の事案による影響の有無、の3点について、分かる範囲で教えていただけますと助かります。
業務アプリを自分で作る立場から：開発で分かった5つのこと
筆者は介護の現場で18年働いてきて、いまはプログラマではない立場で、AI と一緒に職場の業務アプリを作っています。作る側に回ってみて分かったのは、流出や事故の多くが、派手な攻撃よりも手前の「当たり前の確認」が抜けたところから起きるということでした。ここでは、アプリの名前や中身には触れずに、開発の中で実際に起きたことと、そこから変えたことを紹介します。業者のシステムを選ぶときや、いま使っているシステムを見直すときの目安にしてください。
1. 見られる範囲を分ける：使いやすさより先に直したこと
開発の途中で、ある人が保存した情報が、別の人の画面に表示されてしまう不具合が見つかったことがあります。このとき、使いやすさの改良は後回しにして、まず情報の分離を直しました。情報を共有する機能も、画面に出るかどうかだけでなく、保存したあとに読み直したとき、見てよい人にだけ見えているかまで確かめるようにしています。
施設・部署・職務ごとに見られる範囲を分けておけば、万一一人分のIDが盗まれても、漏れる範囲を小さくできます。業者のシステムなら、「職員ごとに見られる範囲を分けられますか」と聞いてみてください。
2. 誰が、いつ、何をしたかを残す
操作の記録（監査ログ）も残すようにしています。何か起きたときに「いつ、誰の操作で」を追えるかどうかで、その後の説明も、報告の中身も変わります。対策2で書いた、一つのIDを何人かで共有する使い方をやめたいのは、この記録が意味を持たなくなるからです。
3. 外の AI に渡す情報は、原本のまま送らない
紙の書類を AI で読み取る機能を作ったとき、自動の取り込みで、利用者の個人情報が外の AI のサービスに送られる危険があることを調べました。そこで、原本をそのまま送らない方式へ変えることを進め、ご本人やご家族には、重要事項説明書に一文を足して説明する方針にしました。音声の文字起こしも同じで、便利さだけでなく、個人情報がどこへ行くかを先に確かめます。スマートフォンのマイクの動作を試すときも、業務の録音を始めない状態でテストしています。
4. 大事なデータは「下書き → 確認 → 確定」の二段にする
AI が書類から読み取った結果は、そのまま確定させない作りにしました。読み取った内容と原本が一致しないことが実際にあったからです。いったん人が見て、確かめてから確定します。確定済みのものをもう一度確定したり、同じ送信が二重に走ったりしないように、そうした操作は仕組みの側で断るようにもしました。情報の事故は、外からの攻撃だけでなく、こうした操作の重なりからも起きます。
5. 戻せるようにしておく：バックアップと復元の確認
開発の途中で、保存されていたデータが大きく減っているのが見つかったことがあります。それ以来、バックアップを取ること、保存の履歴を残すこと、そして実際に元に戻せるかを確かめることを、開発の方針の真ん中に置くようになりました。ランサムウェアのようにデータを人質に取る攻撃に備えるうえでも、「戻せるか」は最後の砦になります。
AI に任せるときに決めていること
もう一つ、AI と一緒に作るからこそ決めていることがあります。本番のデータを調べるときは、削除・確定・送信を禁止して、見るだけにする。試すときは、本番とテストの環境を分けて、壊してはいけないデータでは試さない。AI に作業を任せるときも、許可していない操作はさせない。そして、AI が「直しました」と言っても、その言葉だけで判断せず、自分で画面と結果を確かめる。どれも当たり前のことですが、当たり前を仕組みにしておかないと、忙しい日に抜けます。
怖がって「使わない」を選ぶ前に
筆者は AI を進める側ですが、仕組みをよく知らないと、怖がって「使わない」を選びやすいとも感じています。流出のニュースが続けば、その気持ちはなおさら強くなります。けれど、ここに書いたような「何を確かめてから使うか」が分かれば、怖さの多くは具体的な確認の作業に変わります。
介護施設で個人情報が漏えいしたら：報告義務と期限
万一、施設から個人情報が漏れた、または漏れたおそれがある場合、一定の事態では個人情報保護委員会への報告と、ご本人への通知が義務になっています。報告が必要になるのは、次のいずれかにあたるときです。
- 要配慮個人情報が含まれる
- 財産的な被害が生じるおそれがある
- 不正の目的で行われたおそれがある
- 1,000人を超える
介護記録には、病歴など「要配慮個人情報」にあたるものが多く含まれます。つまり介護施設では、件数が少なくても報告の対象になりうるということです。
期限の目安は、知ってからおおむね3〜5日以内に速報、原則30日以内（不正の目的によるものは60日以内）に確報です。いざ起きてから調べ始めると、期限はすぐに来ます。誰が判断し、誰が報告するかだけでも、先に決めておくと安心です。
まとめ
流出のニュースが続くと不安になりますが、施設として今日できることは限られていて、そのぶん手をつけやすいものです。
- 職員に「お知らせメールのリンクは押さない」と伝える
- 業務と個人のパスワードを分ける
- 業者に、データの置き場所と、何かあったときの連絡を聞いておく
- 報告の期限と、誰が動くかを決めておく
- システムは「見られる範囲・操作の記録・外に出す情報・確定の手順・戻せるか」の5つで見直す
どれも大きな費用はかかりません。ニュースをきっかけに、一つずつ見直してみてください。ホームページそのものの弱点については、PHPの脆弱性の記事（https://ai-kaigo-kaze.com/?p=1985 ）で、業者への聞き方と合わせてまとめています。施設のセキュリティの基本の対策とチェックリストは、「介護施設のセキュリティ対策」の記事（https://ai-kaigo-kaze.com/?p=1870 ）にまとめています。
よくある質問
Q. 介護施設で利用者の情報が1件だけ漏れた場合も、報告が必要ですか？
A. 病歴などの要配慮個人情報が含まれ、ご本人の権利や利益を害するおそれがあれば、件数が少なくても個人情報保護委員会への報告と、ご本人への通知の対象になります。
Q. 報告の期限はいつまでですか？
A. おおむね3〜5日以内に速報、原則30日以内（不正の目的によるものは60日以内）に確報です。
Q. 職員に「流出のお知らせ」メールが届いたら、どうすればいいですか？
A. メールやSMSのリンクは押さず、いつもの公式アプリやサイトを自分で開いて確かめます。迷ったときに誰に聞くかを、施設で決めておくと安心です。
この記事はAIの補助を受けて作成し、介護現場18年の筆者が内容を確認しています。
出典：
- 東京商工リサーチの集計（ScanNetSecurity「上場企業の個人情報漏えい 2026年は100万件以上がすでに10件 過去最悪ペース」2026年10月21日）https://scan.netsecurity.ne.jp/article/2026/10/21/56521.html
- ITmedia エンタープライズ「2026年10月総まとめ第2弾 やまぬ情報漏えい2週間を振り返る」2026年10月20日 https://www.itmedia.co.jp/enterprise/articles/2610/20/news061.html
- INTERNET Watch「カプコンのオンラインサービスで約1177万件のユーザー情報漏えい」2026年10月22日 https://internet.watch.impress.co.jp/docs/news/2150509.html
- 個人情報保護委員会「漏えい等報告・本人への通知の義務化について」https://www.ppc.go.jp/news/kaiseihou_feature/roueitouhoukoku_gimuka/
- 個人情報保護委員会「漏えい等の対応とお役立ち資料」（報告の期限：速報3〜5日以内・確報30日以内・不正の目的は60日以内）https://www.ppc.go.jp/personalinfo/legal/leakAction/
※この記事は一般的な情報の整理です。実際に流出が起きたときは、個人情報保護委員会の案内や専門家に確認してください。
コメント