情報漏えい発覚時に企業が最初にすべきことは？初動対応を解説

「もし明日、自社の顧客情報が漏えいしたと分かったら、最初に何をすればよいのだろうか」。中小企業の社長にとって、具体的な対応手順をすぐに説明するのは難しいかもしれません。

2026年9月25日、タイムズカーのWebシステムで異常なアクセスが検知されました。運営グループのパーク24は、同日中に調査と封じ込めを開始し、影響を受けたサーバーの隔離、不正アクセス経路の遮断、外部専門機関による調査などを進めたと説明しています。

その後、個人情報保護委員会への報告、対象となる利用者への通知、問い合わせ窓口の設置なども行われました。今回の事例は、情報漏えいへの対応が、システムを直すだけでは終わらないことを示しています。

この記事では、情報漏えいが疑われた際に企業が最初に確認すべきことを、実務の順序に沿って解説します。専門知識がない社長でも、自社の担当者やシステム管理会社に何を依頼すればよいか分かるように整理しました。

この記事の結論

情報漏えいが疑われた場合は、社内責任者と専門家に速やかに連絡し、被害拡大防止と証拠保全を並行して進めることが重要です。そのうえで、影響範囲を調査し、行政報告や本人通知の要否を確認します。原因や対象人数が確定するまで、必要な対応をすべて先送りしてよいわけではありません。

目次｜情報漏えい発覚時の初動対応13項目

タイムズカーは発覚当日に何をしたのか
最初に社内で連絡する相手を決める
被害拡大を防ぐために行うこと
ログや証拠を消さずに保全する
漏えいした情報と対象範囲を調べる
外部の専門家へ相談する
個人情報保護委員会への報告期限を確認する
顧客への通知はいつ、何を伝えるのか
ホームページで公表する際の注意点
問い合わせ窓口と社内記録を整える
復旧と再発防止をどう進めるのか
社長が確認したい10項目
まとめ｜最初の行動がその後の対応を左右する

1．タイムズカーは発覚当日に何をしたのか

パーク24が2026年10月23日に公表した第5報では、9月25日に異常なアクセスを検知し、直ちに調査と封じ込めを開始したと説明されています。同日中に対象サーバーの隔離、不正アクセス経路の遮断、外部専門機関によるフォレンジック調査、個人情報保護委員会への報告などを実施したとしています。

翌26日には侵害を受けた環境と関連環境の切り離しを完了し、28日には警察への相談を開始しました。その後も対象者への通知や追加調査を続け、10月23日に調査結果を公表しています。

日付	公表された主な対応
9月25日	異常アクセス検知、調査開始、サーバー隔離、侵入経路遮断、専門機関による調査開始、個人情報保護委員会への報告、第1報公表
9月26日	侵害環境と関連環境の切り離し完了
9月28日	警察への相談開始、国土交通省への一報、第2報公表
9月29日	第3報公表、対象者への案内を順次実施
10月16日	第4報公表
10月23日	外部専門機関によるフォレンジック調査終了、第5報公表

この時系列はパーク24が公表した事実であり、すべての企業が同じ日程で対応できることを意味するものではありません。ただし、被害拡大防止、専門家による調査、行政への報告、顧客への説明を並行して進める重要性が読み取れます。

一次情報：タイムズカー｜情報漏えいに関する第5報

2．最初に社内で連絡する相手を決める

情報漏えいが疑われた場合、最初に必要なのは、社内の責任者へ速やかに連絡することです。担当者が個人の判断だけで対応を進めると、重要な情報が共有されなかったり、証拠が失われたりする可能性があります。

中小企業では、社長が責任者となる場合もあります。誰が判断し、誰がシステム管理会社へ連絡し、誰が顧客対応を担当するのかを明確にしましょう。

最初に共有したい情報

異常を発見した日時
異常が発生したシステムや端末
どのような異常が確認されたか
現在も異常が続いているか
発見後に実施した操作や対応
顧客情報が関係する可能性があるか

社長が最初に確認したいこと

「いつ、どのシステムで、何が起きたのか」を把握し、システム管理会社や専門家へ連絡しましょう。漏えいの有無を社内だけで判断できない場合も、相談を先送りしないことが大切です。

3．被害拡大を防ぐために行うこと

不正アクセスが疑われた場合は、攻撃者が引き続きシステムへアクセスできないよう、被害拡大を防ぐ必要があります。例えば、影響を受けたシステムの隔離、通信経路の制限、不正な認証情報の無効化などが考えられます。

ただし、具体的な対応方法はシステムの状況によって異なります。感染が疑われる端末をむやみに再起動したり、独断で初期化したりすると、原因調査に必要な記録が失われる場合があります。

被害拡大を防ぐことと、証拠を残すことの両方を考え、可能な限り専門家やシステム管理者の指示に従って対応しましょう。業務停止が必要な場合は、事業への影響も含めて判断します。

避けたい初動対応

「とりあえずパソコンを初期化する」「不審なファイルをすべて削除する」「サーバーを何度も再起動する」といった操作は、調査に必要な証拠を失う原因になる場合があります。緊急の封じ込めが必要な場合も、実施内容を記録しましょう。

4．ログや証拠を消さずに保全する

情報漏えいの原因や影響範囲を調べるには、アクセスログ、認証記録、通信記録、システムの設定情報などが重要になる場合があります。これらの記録が失われると、何が起きたのかを後から確認しにくくなります。

ログの保存期間が短いシステムでは、通常の運用によって古い記録が上書きされる可能性もあります。そのため、システム管理者や専門家に、必要な記録の保全を早急に依頼することが大切です。

保全を検討する情報

Webサーバーやクラウドサービスのアクセスログ
管理者アカウントの認証記録
不審なメールや添付ファイル
不正アクセスを知らせる警告画面
システムの設定や変更履歴
異常を発見してからの対応記録

証拠保全の方法はシステムによって異なります。画面の写真だけで十分とは限らないため、必要に応じて専門家に相談してください。

5．漏えいした情報と対象範囲を調べる

被害拡大防止と並行して、どの情報が影響を受けた可能性があるのかを調査します。顧客情報の種類、保存場所、アクセス状況、外部送信の有無などを確認することが重要です。

例えば、氏名や住所などの情報と、本人確認書類の画像では、顧客への影響や必要な説明が異なる場合があります。また、システムに保存されている件数と、実際に外部送信された件数が同じとは限りません。

確認項目	具体的な確認内容
対象システム	どのシステムやデータベースが影響を受けたか
情報の種類	氏名、住所、電話番号、メールアドレス、本人確認書類など
対象件数	保存件数、アクセスされた件数、外部送信が確認された件数
外部送信	外部へデータが送信された痕跡の有無
二次被害	不正利用や不審な連絡などの確認状況
未確認事項	調査中で判断できない内容

初期段階では、すべての事実が分からない場合があります。その際は、確認済みの事実、疑われる内容、未確認の事項を分けて記録し、調査結果に応じて更新しましょう。

6．外部の専門家へ相談する

不正アクセスの原因調査や証拠保全には、専門的な知識が必要になる場合があります。自社だけで対応が難しいときは、システム管理会社、セキュリティ専門家、法律の専門家などへ早めに相談しましょう。

相談先は、事故の内容によって異なります。例えば、侵入経路の調査はセキュリティ専門家、行政報告や顧客対応の法的判断は弁護士などが関係する場合があります。

サイバー保険に加入している場合は、保険会社の事故受付窓口へ連絡し、利用できる支援や費用の取扱いを確認することも重要です。専門家への依頼に事前承認が必要な契約もあるため、約款や保険会社の案内を確認してください。

事前に準備したい連絡先

システム管理会社、セキュリティ専門家、法律相談先、保険会社の事故受付窓口を一覧にしておくと、緊急時に連絡しやすくなります。連絡先は、社内システムが使えなくなった場合にも確認できる方法で保管しましょう。

7．個人情報保護委員会への報告期限を確認する

個人情報漏えいが発生した場合、事案の内容によっては、個人情報保護委員会への報告が法律上必要になります。すべての漏えい事故で報告義務が生じるわけではありませんが、報告対象かどうかを早期に確認する必要があります。

個人情報保護委員会は、報告対象となる漏えい等について、発覚後速やかな速報と、その後の確報を案内しています。速報は発覚日からおおむね3〜5日以内、確報は原則30日以内、不正な目的で行われたおそれがある場合は60日以内とされています。

区分	期限の考え方	注意点
速報	発覚後速やかに。目安は発覚日から3〜5日以内	すべての調査結果が確定するまで待つものではない
確報	原則として発覚日から30日以内	報告対象事案の内容に応じて確認する
不正な目的によるおそれがある場合の確報	発覚日から60日以内	該当性を個別に確認する
本人通知	状況に応じて速やかに実施	報告義務の対象となる事案では原則として本人通知も必要

報告対象には、要配慮個人情報の漏えい等、財産的被害が生じるおそれのある漏えい等、不正な目的で行われたおそれのある漏えい等、本人の数が1,000人を超える漏えい等などがあります。具体的な要件や例外は、個人情報保護委員会の案内で確認してください。

重要：調査完了を待たない

報告義務の対象となる可能性がある場合は、原因や対象人数が確定するまで何もしないのではなく、確認できた内容をもとに速報の要否を判断しましょう。期限や報告先は事案によって異なるため、必要に応じて専門家へ確認してください。

一次情報：個人情報保護委員会｜漏えい等の対応とお役立ち資料

8．顧客への通知はいつ、何を伝えるのか

個人情報漏えいが疑われる場合、影響を受ける顧客へどのように説明するかを検討する必要があります。法律上の本人通知が必要な事案では、状況に応じて速やかに通知することが求められます。

顧客への説明では、確認できた事実と調査中の内容を区別することが大切です。例えば、漏えいのおそれがある段階で「情報がすべて流出した」と断定したり、十分な確認ができていない段階で「悪用の心配はない」と説明したりすることは避けましょう。

顧客への説明で整理したい内容

どのような事案が発生したか
発覚した日時と現在の対応状況
対象となる可能性がある個人情報
確認されている被害と未確認の事項
顧客に注意してほしいこと
問い合わせ窓口と今後の案内方法

タイムズカーでは、調査の進展に応じて複数回の公表を行い、対象者への個別案内も順次実施しました。これは、すべての情報が初日から確定していなくても、段階的に説明する対応の一例です。

9．ホームページで公表する際の注意点

情報漏えいが発生した場合、事故の規模や影響範囲によっては、ホームページなどでの公表を検討することがあります。ただし、すべての事故で一律に公表が義務付けられるわけではありません。

公表する際は、事実関係、影響を受ける情報、現在の対応、問い合わせ先を整理しましょう。調査中の事項については「確認中」と明記し、新たな事実が判明した場合は追加案内を検討します。

公表項目	記載の考え方
発生した事案	確認できた事実を簡潔に説明する
対象情報	判明している情報と調査中の情報を分ける
原因	未確定なら推測で断定しない
実施した対応	隔離、調査、関係先への連絡などを事実に基づき記載する
顧客へのお願い	必要な注意事項を具体的に伝える
問い合わせ先	連絡方法と受付体制を明確にする
更新情報	公表日と更新日を区別する

公表内容は、顧客通知や行政報告と矛盾しないよう確認することが重要です。必要に応じて法律の専門家と内容を確認しましょう。

10．問い合わせ窓口と社内記録を整える

情報漏えいが公表されると、顧客や取引先から問い合わせが入る場合があります。対応する担当者によって説明が異なると、混乱や不信感につながる可能性があります。

そのため、問い合わせ窓口を決め、確認済みの事実と回答できない事項を整理しておくことが大切です。新しい情報が判明した場合は、担当者間で共有し、説明内容を更新しましょう。

社内で残しておきたい記録

事故を発見した日時と発見者
実施した対策と担当者
外部専門家への相談内容
行政報告や顧客通知の実施状況
顧客からの問い合わせ内容
追加調査で判明した事項
再発防止策と実施状況

これらの記録は、社内での情報共有だけでなく、後から事故対応を検証する際にも役立つ可能性があります。個人情報を含む問い合わせ記録自体も、適切に管理しましょう。

11．復旧と再発防止をどう進めるのか

不正アクセスの経路を遮断した後も、直ちに通常運用へ戻してよいとは限りません。原因や影響範囲の調査、安全性の確認、必要な修正を行ったうえで、復旧を判断することが重要です。

例えば、脆弱性が悪用された場合は、その修正だけでなく、同じ問題が関連システムにも存在しないか確認する必要があります。認証情報が不正利用された場合は、関係するアカウントや権限の見直しも検討します。

また、今回のタイムズカーの事例では、本人確認書類画像の保管ルールも見直されました。再発防止は、システムの修正だけでなく、そもそも不要な情報を保有しない運用へ変更することも含まれます。

再発防止の考え方

「システムを復旧したら終了」ではなく、事故の原因、管理上の課題、情報の保管ルールまで確認しましょう。対策を実施した後も、担当者と点検時期を決めておくことが大切です。

12．社長が確認したい10項目

情報漏えいは、発生してから対応手順を考え始めると判断が難しくなる場合があります。今のうちに、次の10項目を確認してみてください。

情報漏えいが疑われた際の社内責任者を決めている
システム管理会社の緊急連絡先を把握している
被害拡大防止と証拠保全の基本手順を確認している
アクセスログなどの保存状況を把握している
顧客情報の種類と保存場所を把握している
セキュリティ専門家への相談先を確保している
行政報告の要否と期限を確認する担当者を決めている
顧客通知とホームページ公表の担当者を決めている
問い合わせ対応と事故対応記録の管理方法を決めている
復旧後の再発防止策を確認する体制がある

今日から始める3つの確認

事故発生時の社内責任者と緊急連絡先を決める
顧客情報を保存しているシステムと管理会社を確認する
個人情報保護委員会への報告が必要か判断する担当者を決める

13．まとめ｜最初の行動がその後の対応を左右する

タイムズカーの情報漏えい事件では、2026年9月25日に異常なアクセスを検知し、同日中にサーバー隔離、不正アクセス経路の遮断、外部専門機関による調査、個人情報保護委員会への報告などが行われたと公表されています。その後も対象者への通知や追加調査が続けられました。

中小企業が今回の事例から学びたいのは、情報漏えいへの対応が一つの作業では終わらないということです。被害拡大防止と証拠保全を並行して進め、影響範囲を確認し、必要な行政報告と顧客通知を行うことが重要です。

特に、原因や対象人数が確定していないからといって、必要な対応をすべて先送りすることは避ける必要があります。確認できた事実を整理し、専門家と連携しながら段階的に対応を進めましょう。

まずは、社内責任者、システム管理会社の連絡先、行政報告を判断する担当者の三つを確認してみてください。事故が起きる前の準備が、顧客の信頼を守るための大切な一歩になります。

参考にした一次情報

※2026年10月27日時点の公表情報に基づく解説です。事故対応の具体的な手順は、システム構成、事故の内容、適用法令などによって異なります。行政報告・本人通知の要否や期限については、個人情報保護委員会の最新の案内を確認し、必要に応じて専門家へ相談してください。