0. 神龍を呼ぶ前に、人間が完成してしまう
「マイナンバーの情報はあちこちに分けて保管してるんだよね」 「じゃあ、全部の保管先から漏れたらドラゴンボール7個集めるようなもんか」
個人情報のドラゴンボール、まさかの国家規模。
願いをひとつ叶える神龍を呼ぶ前に、税金、買い物、勤務先、趣味、連絡先がそろって、一人の生活がやたら詳しく見えてしまう。しかも怖いのは、7個そろえる必要がないことだ。
民間のサービスから出た情報と、公的な機関から出た情報。別々の事件の破片でも、同じ人のものだと分かれば、話がつながる。
ただし、「人物像を推測できる」と「政府のほかの保管庫を開けられる」は別物。 この違いを飛ばすと、神龍の説明書が突然ホラー映画になる。
1. 24万6000件のニュースで、実際に起きたこと
2026年10月9日、SNSで「デジタル庁、個人情報約24万6000件漏えい」という投稿が話題になった。だが、最初の公式発表は9月11日。その日に新しく24万6000件の流出が確認された、という意味ではない。[1]
対象は、デジタル庁が運用する政府職員向けの共通業務環境。外部からつなぐ機器の弱点を悪用され、仕事用の情報に不正にアクセスされた。
経緯はこうだ。
- 6月25日：運用担当者の利用者情報を使った、大量のファイルへの不審なアクセスを検知。
- 7月9日：外部からの侵入を確認。その利用者情報を止め、侵入された機器の外部通信を遮断。
- 9月11日：約24万6000件の個人情報が外部へ漏れた可能性を公表。
漏えいの可能性があるのは、仕事に関係した公務員、業者、会議参加者などの氏名、メールアドレス、電話番号、住所など。約18万9000件が職員・業務に関わった公務員等、約5万7000件が業者・個人に関する情報だ。「24万6000人が確実に被害に遭った」と読み替えてはいけない。あくまで約24万6000件の情報に漏えいの可能性がある。[1][2]
さらに重要な点がある。一般国民の行政記録は対象ではなく、マイナンバー、銀行口座情報、年金番号も含まれていないと、デジタル庁は説明している。住所や電話番号も、職場の所在地や業務用連絡先が多い。[2]
2. 「カードを作らなかった俺の勝ち！」は早すぎる
投稿への反応には「マイナンバーカードを作らなくてよかった」という声もあった。
ちょっと待ってほしい。今回攻撃されたのは、マイナンバーカードの中身でも、全国民の情報を集めた巨大な保管庫でもない。 政府の仕事用の環境だ。
そもそもカードの中の小さな電子部品には、税額、年金、病歴が丸ごと入っているわけではない。必要な手続きの際に、それぞれの機関にある情報を使う仕組みだ。[3][4]
もちろん「だから国の安全対策は完璧」という意味ではない。今回も侵入を許し、再発防止が必要になった。政府の仕組みに不安を持つことと、別の事件をカード作成者の敗北にすることは分けて考えたい。
3. そもそも、なぜ別々に保管している？
税金の情報は税の担当機関へ。年金の情報は年金の担当機関へ。地方税や福祉の情報は自治体へ。マイナンバー制度は、これらを一つの巨大な箱へ移す仕組みではない。[3]
役所同士で必要な情報をやり取りするときも、基本的には12桁のマイナンバーをそのまま合言葉には使わず、機関ごとに違う番号を使う。アクセスできる人や、やり取りできる内容にも制限がある。[3]
例えるなら、巨大な宝箱一つに全財産を入れず、別々の建物に金庫を置く形だ。
一つの鍵が盗まれたら、ほかの金庫まで自動で開く――という事態を防ぎやすい。 これが分けて保管する大きな理由。
だが、金庫の中身の写しが別々の場所から持ち出されたら？ ここから話は変わる。
4. 「金庫に入る」と「落ちた書類を集める」は違うゲーム
混同されがちな危険は二つある。
第一の危険：侵入の連鎖。 一つの組織に入れた攻撃者が、ほかの組織の中身まで勝手に開く。これは別々の保管、違う番号、利用権限の制限などで防ぐ。
第二の危険：流出情報の組み合わせ。 すでに外へ出てしまった複数の名簿や履歴を、同じ人物のものとして結び付ける。こちらは各組織の金庫が別でも起こり得る。
神龍にたとえると、第一の危険は「星の付いた玉一つで残り六つの隠し場所まで開ける」話。第二は「落ちていた玉のかけらに、同じ持ち主の名前が書いてあった」話だ。
分散管理は無意味ではない。守っている場所が違う。 [3][5]
5. 民間と公的な情報が合体すると、何が見える？
以下は実際の事件の被害一覧ではなく、もし別々の組織からこうした情報が漏れたらという例だ。
| 情報の出どころ | 分かり得ること |
|---|---|
| 通販サービス | 連絡先、配送先、購入の傾向 |
| 投稿・交流サービス | 興味、交友、公開した予定 |
| 勤務先や業務サービス | 仕事の連絡先、所属、担当業務 |
| 行政の記録 | 税や家族に関する一部の情報など、実際に含まれた項目だけ |
| 医療関係の記録 | 受診歴など、実際に漏えいした場合に限る |
通販の名簿だけなら「この商品を買う人」。勤務先の情報だけなら「この部署の人」。公開投稿が加わると「この時期に旅行を話していた人」。さらに別の記録が重なると、一つの名簿だけでは見えなかった生活の輪郭が現れる。
「通販＋職場＋役所＝全人生を完全復元！」は言い過ぎだ。どの情報が本当に漏れ、どれが同一人物と分かるか次第。それでも、全部の機関を破らずに怖い情報が生まれる、という発想は現実的だ。
6. どうやって同じ人だと分かる？ そして何を間違える？
同じメールアドレス、電話番号、氏名と住所の組み合わせなど、複数の記録に共通する手掛かりがあると、情報を結び付けやすくなる。
逆に、同姓同名、古い住所、家族共用の連絡先、再利用された電話番号もある。つながって見えるからといって、本当に同じ人とは限らない。 誤って別人の病気や借金を結び付ければ、それ自体が深刻な被害になり得る。
2019年の研究は、氏名を消した一部のデータでも、ほかの特徴が重なると本人を推定できる場合があると示した。米国の公的な技術機関も、名前を隠すだけでは残る危険を十分に消せないことを説明している。[5][6]
ただし研究の数字を、そのまま「日本人の何％が特定される」「今回の24万6000件が結合された」と読み替える根拠はない。
7. ここに文章を作る道具が加わると？
大量の記録から似た名前や連絡先を探し、ばらばらの文章を整理する作業は、コンピューターで速くできる。近年の文章生成の仕組みも、人物像を説明したり、それらしい連絡文を作ったりするのに使えてしまう。
心配なのは、相手の勤務先や趣味を少し知ったうえで送る、妙に事情に詳しい偽メールだ。「なぜ私の担当業務を知っている？」と思うほど、本物に見える危険がある。デジタル庁も今回の件で、なりすまし連絡への注意を呼びかけた。[1]
ただし、道具が勝手に未知の事実を知るわけではない。間違った記録をつないで、架空の人物像を自信満々で語ることもある。そして人物像を作れることは、カードの暗証番号を破れることでも、銀行口座を開けることでもない。
8. 守る側がすべきこと、私たちがすべきこと
組織側は、機器の弱点を早めに直す、仕事に必要な範囲だけ情報を見せる、使わない情報を保管し続けない、不審な大量閲覧を見つける、事故が起きたら経路を止めて対象者へ正確に伝える。分散して保存することに加え、外に持ち出されたあと何が結び付くかまで考える必要がある。
今回、デジタル庁は7月9日に利用者情報を停止して外部との通信を遮断し、再発防止として弱点の管理方法と外部接続方法の見直しを挙げている。[1] 防いだ後の対策は評価材料だが、侵入された事実まで消えるわけではない。
個人側は、知らない連絡のリンクからログインしない、公式サイトやアプリを自分で開いて確認する、使い回したパスワードを改める、可能なサービスでは追加の本人確認を使う。今回の対象と連絡された人は、公式の案内で必要な対応を確かめたい。
一般のマイナンバーカード利用者全員が、この事件だけを理由にカードを廃止する必要がある、という話ではない。
9. 結論：7つの玉より、拾われた破片が怖い
マイナンバーの情報を別々に保管するのは、一か所から全部を引き出されにくくするための大事な防御だ。
でも、一度外へ漏れた情報は、民間と公的機関の境目を越えて、別々の事件の断片と結び付けられることがある。
「7か所全部を突破されたら終わり？」という問いから、一歩先へ進むとこうなる。
「2〜3か所の断片でも、同じ人だと分かる手掛かりは残っていないか？」
神龍「7つ集めてから来い」
個人情報「いや、もう3つでだいぶ話が見えてます」
願いを叶える前に、プライバシーが叶わなくなる。 だから対策は「金庫を分ける」で終わらず、「破片をそもそも漏らさない」「結び付けられる量を減らす」まで必要なのだ。
参考資料（1件）
[1] Digital Agency, Japan — government work environment incident, September 11, 2026 [2] Digital Agency, Japan — incident questions and answers, updated September 12, 2026 [3] Digital Agency, Japan — My Number system and separate storage [4] Japan Agency for Local Authority Information Systems — My Number card security [5] NIST — De-Identifying Government Datasets, September 2023 [6] Rocher, Hendrickx & de Montjoye — Nature Communications, July 23, 2019
