藤末健三マサチューセッツ工科大（MIT）サイバーAIセキュリティ研究所（CAMS）副所長（アジア担当）、慶應義塾大学特任教授、ミュンヘン工科大学AI倫理研究所客員教授、インド工科大学ハイデラバード特任教授

東京科学大学を卒業。参議院議員を3期務め、総務副大臣を歴任。専門はサイバー・AIのマネジメントと政策。プロボクサーライセンスを取得し、今もリングに向かう。「源行」の筆名で禅や哲学の本も書く。 MITサイトhttps://sites.mit.edu/fujisue/

「個人情報が漏れました」そのメール、本物？リンクからのパスワード変更に潜む罠…「偽おわびメール」の恐怖

公開日：2026/11/12 06:00　更新日：2026/11/12 06:00

◆「おわびしたから終わり」ではない

　最後に、会社の側に言いたいことがあります。

　日本では2022年4月から、一定の漏えいについて、個人情報保護委員会への報告と本人への通知が義務になりました。対象は、病歴など配慮が必要な情報が含まれる場合、お金の被害が出るおそれがある場合、不正アクセスなど悪意による場合、1000人を超える場合などです。委員会には、発覚からおおむね3〜5日以内に速報を、30日以内（悪意による場合は60日以内）に確報を出します。

　本人に知らせる項目も、法令で5つ決まっています。何が起きたのか、漏れた項目、原因、その後の被害やそのおそれ、その他参考になることです。ところが、通知の様式は決まっていません。どこまで詳しく書くか、被害者に何をしてほしいかをどう伝えるかは、会社任せなのです。おわびメールを送れば、責任を果たしたことになるのでしょうか。私はそうは思いません。

　そこで、全国共通の「標準通知ルール」を提案します。①何が起きたか、②何が漏れたか、③自分が対象かを確かめる方法、④どんな危険があるか、⑤優先順位をつけた、今すべき行動、⑥相談窓口と受付時間。この6つを、どの会社も同じ形式、同じ順番で示す。調査が進んで新しい危険が分かれば、改めて本人に知らせる。