個人情報漏洩・不正アクセスの初動フロー――ゲーム会社が48時間で確定させるべきこと

個人情報漏洩・不正アクセスの兆候は、社内の監視画面だけでなく、外部にも現れる。発売前のゲームデータが外部サイトに現れる、利用者から身に覚えのないメールを指摘される、委託先から連絡が入る。外部で起きた異変から、社内の不正アクセスが逆算されることもある。

2026年6月、Keyを運営するビジュアルアーツは、不正アクセスにより個人情報が漏えいした可能性を公表した。新作『anemoi』のマスターデータが4月19日時点で海外サイトに無断掲載されていることを手掛かりに調査し、社内ポータルに保存されていたクラウドストレージの認証情報が窃取された可能性を明らかにした。公式通販サイト利用者、取引先、採用応募者、従業員の情報が対象となりうるとして、同社は特別対応窓口を設けている。件数は調査中であり、報道にある数字を確定値として扱う段階ではない。[1][2]

これは恐怖を煽るための事例ではない。検知の入口が何であれ、初動で問われるのは「誰が、何を、いつまでに確定させるか」である。個人情報保護法の報告・本人通知は、原因の完全な解明を待つ制度ではない。事実確認、流出の遮断、法的な報告判定を並行して進めるための型が必要になる。

本稿は、日本の個人情報保護法に基づく個人データの漏えい等を対象に、ゲーム会社が発覚から48時間で固めるべき事実と判断を整理する。炎上時の文面設計はプレイヤーと開発元のコミュニケーション：炎上対応と信頼回復の実践知識で扱う。また、事後の学習と再発防止の進め方は重大インシデント後のポストモーテムを設計するに譲る。本稿の範囲は、それらより前、報告義務に直結する初動の事実確認と報告判断である。

自分たちのゲームは何を預かっているのか

ライブサービス型のゲームでは、ストア課金を使う限りカード番号を直接保有しない構成が多い。自社決済でも、決済代行事業者がトークン化した値を扱う設計がある。だからといって、個人情報のリスクが小さいわけではない。むしろ運営、CS、マーケティング、採用、物販をまたぐと、カード番号以外のデータのほうが広く散らばりやすい。

棚卸しでは「個人情報か」という一問だけで終えない。 どのシステムにあり、誰と結び付くか、外部へ出る経路は何か まで記録する。以下はゲーム会社で確認対象になりやすい類型である。

公開されているプライバシーポリシーを見るだけでも、扱う範囲は広い。『モンスターストライク』は端末情報、位置情報、電話帳情報、アプリ内購入情報、広告識別子を取得情報として挙げている。カプコンのゲームプライバシーポリシーも、ゲーム内での入力・行動内容、プレイ日時や総プレイ時間、クラッシュ報告、端末識別子、IPアドレスなどを例示する。[3][4]

Cookieなどの端末識別子について、個人情報保護委員会は、個人情報に該当しない場合でも通常は利用者に関する「個人関連情報」に当たりうるとしている。家族などが端末を共用していても、通常は共用者それぞれとの関係で個人関連情報となりうる。他の情報と容易に照合できるなら、全体として個人情報になりうる。[5]

ここでの棚卸しは、漏えいを起こした後に一覧を作る作業ではない。平時に「データ類型｜保管システム｜管理部門｜委託先｜個人データとしての扱い｜報告判定に必要なログ」を一行ずつ持つことが、48時間の調査を可能にする。

「漏えいかもしれない」と分かった瞬間に確定させること

発覚直後に先に決めるべきことは、対策の是非や対外文の表現ではない。次の四つの事実である。原因の根本解明や再発防止策は重要だが、最初の48時間では報告判定に必要な粒度までを優先する。

1. 対象データは何か：テーブル名、オブジェクトストレージのパス、SaaSのエクスポート、ログなど、候補を物理的な保管場所まで特定する。個人データの項目、本人との紐付き方、対象者の概数を記録する。
2. 誰に影響しうるか：プレイヤー、退会者、通販購入者、キャンペーン応募者、取引先、応募者、従業員を混ぜずに分ける。利用中アカウントか、認証情報が有効かも区別する。
3. 何が起きたか：外部からの不正アクセス、内部者による不正持出し、誤設定・誤送信、委託先・SaaS経由のどれが疑われるかを、確度とともに書く。原因不明は「不明」として残し、推測で空欄を埋めない。
4. 流出は続いているか：侵害された可能性のある認証情報の無効化、セッション失効、アクセスキーのローテーション、公開設定の修正、連携停止などを行う。遮断の前後で証跡を取り、いつ誰が何を止めたかを記録する。

証拠保全と遮断を対立させない

ログを消してしまえば、報告内容も被害範囲も確定しにくくなる。一方、調査のために侵害された認証情報を有効なままにする理由もない。したがって、原本ログ、監査ログ、アクセス履歴、設定変更履歴、関連するチケットや通知を保全したうえで、遮断を実施する。実務上は次のような一枚の記録を、更新時刻付きで共有するとよい。

この記録は、ポストモーテムの代わりではない。速報、確報、本人通知で「当時どこまで判明していたか」を説明するための事実台帳である。人の評価や再発防止の議論は、遮断と法的判断が落ち着いた後に別の場で行う。

48時間の到達点を先に置く

48時間は法定期限ではなく、社内の初動目標である。個人情報保護委員会への速報は「速やかに」、目安として発覚から概ね3〜5日以内とされる。週末や祝日、調査の長期化を考えると、48時間の時点で速報に必要な骨格がなければ余裕は小さい。[6]

「件数が正確に出るまで報告判定をしない」という順番は危険である。不正の目的による漏えい等のおそれが合理的に認められるなら、対象人数が未確定でも報告対象になりうる。速報は、判明済みの事実と未確定事項を分けて提出し、確報までに更新する前提で進める。

判定基準表：情報の類型を報告トリガーに掛ける

2022年4月1日から、個人データの漏えい等で個人の権利利益を害するおそれがある場合、個人情報保護委員会への報告と本人への通知が義務付けられた。報告対象となる主な事態は、要配慮個人情報、財産的被害のおそれ、不正の目的によるおそれ、1,000人を超える漏えい等の四類型である。[7]

以下の表は、前章の棚卸しと報告判定をつなぐための社内用の起点である。該当欄は法律上の結論ではなく、法務・個人情報保護担当へ直ちに渡すべき確認信号を示す。個別事案では、漏えい等の態様、情報の結合可能性、アクセスや取得の蓋然性を確認する必要がある。

四類型を「件数判定だけ」にしない

特に見落としやすいのは、1,000人超ではないから報告不要だと早合点することである。不正アクセス、ランサムウェア、内部不正による持出しなどは、「不正の目的をもって行われたおそれ」によって報告対象となりうる。対象人数の確定前から、攻撃経路と取得可能性を確認しなければならない。

反対に、端末識別子や広告IDが含まれるから直ちに四類型に当たる、という理解も正確ではない。個人データであるか、他の情報と容易に照合できるか、どう取得されたか、人数はどの単位で数えるかを順に確認する。棚卸し表の役割は、法務判断を機械化することではなく、必要な質問を担当者の経験に依存させないことである。

期限は「速報」と「確報」を分けて管理する

報告対象と判断した場合、速報は速やかに、発覚から概ね3〜5日以内が目安である。確報は原則30日以内であり、不正の目的による漏えい等のおそれがある事態では60日以内となる。期限管理では、発覚日、速報提出日、確報期限、本人通知の実施状況を同じ台帳に置く。[6]

法務・CS・広報・開発は、何をいつ動かすか

役割分担を「全員で対応する」とだけ書くと、判断の空白が生まれる。個人情報漏洩に限定し、各部門の決定権と入力を分ける。

広報の役割は、炎上を抑える言い回しを先に選ぶことではない。本人通知・代替措置・問い合わせ窓口を、法務が確認した事実に合わせて実装可能にすることである。CSも、原因を推測して個別に回答しない。問い合わせの内容自体が、新たな影響範囲の手掛かりになるため、事実台帳に戻す導線を持たせる。

委託先やSaaSが関わる場合は、契約窓口だけに任せない。誰が監査ログを取得できるか、誰が対象者リストを抽出するか、本人通知をどちらが担うかを、最初の24時間で確認する。委託先経由であっても、自社が保有する個人データの事案として報告・通知の検討が必要になる場合がある。

本人への通知をどう設計するか

報告対象の事態では、本人への通知も必要になる。通知は、対象者に直接知らせることが基本であり、電子メールや文書の郵送が例となる。本人への通知が困難な場合には、ホームページ等での公表や問い合わせ窓口の設置といった代替措置を講じることができる。[7]

通知の目的は謝罪文を整えることではなく、本人が自分の権利利益を守るために必要な事実を届けることにある。個人情報保護委員会の通則ガイドラインは、本人に通知すべき事項として、概要、漏えい等が発生した、または発生したおそれがある個人データの項目、原因、二次被害またはそのおそれ、その他参考となる事項を示す。すべてが判明するまで通知を待つ必要はなく、状況に応じて速やかに行う。[8]

通知テンプレートには、少なくとも次の欄を平時から持たせておく。

一斉通知を設計するときも、「全員に同じ項目が漏えいした」と決めつけない。例えば、CS添付だけが対象の人、購入履歴だけが対象の人、認証情報も対象の人では、本人が取るべき措置が異なる。対象者抽出の条件と通知テンプレートの差分を、データ棚卸しと対応付けておく必要がある。

まとめ：確認だけで動ける状態を平時に作る

個人情報漏洩・不正アクセスの初動は、重大な対策をその場で発明する仕事ではない。まず、どのデータを預かり、どこにあり、誰が調べられるかを知る。次に、要配慮個人情報、財産的被害のおそれ、不正の目的、1,000人超という判定軸を、棚卸ししたデータ類型に重ねる。そして、法務・開発・CS・広報が同じ事実台帳を見て、速報と本人通知の準備を進める。

平時に作るべきものは、長大な危機管理文書ではない。データ棚卸し表、四類型の判定表、連絡責任者、証拠保全と遮断の手順、通知テンプレートである。この五つがあれば、有事には「何を確認すれば動けるか」から始められる。48時間で確定させるべきことを、48時間の前に決めておくのである。

References

1. 不正アクセスによる個人情報漏えいに関するお知らせとお詫び - クラウドストレージの認証情報窃取、『anemoi』マスターデータが4月19日に海外サイトへ無断掲載された経緯、対象者区分（VA STORE購入者・抽選応募者・個人取引先・法人取引先・採用応募者・従業員）、件数調査中である旨を伝える株式会社ビジュアルアーツの公式発表PDF。

2. 「Key」運営元ビジュアルアーツが不正アクセス被害報告、“1万件規模”の個人情報漏えいの可能性 - 社内ポータルのクラウドストレージ認証情報窃取という原因と、対象者の種類を伝えるAUTOMATONの記事。

3. モンスターストライク（日本） プライバシーポリシー - 端末情報、位置情報、電話帳情報（氏名・電話番号・メールアドレス）、アプリ内購入情報、広告識別子等の取得情報を明記する株式会社MIXIの公式ポリシー。

4. カプコンゲームプライバシーポリシー（家庭用ゲーム、PCゲーム） - 連絡先情報、位置情報、端末識別子、ゲーム内での行動データ等の取得情報を明記する公式ポリシー。

5. Cookie等の端末識別子は個人関連情報に該当しますか。家族等で情報端末を共用している場合はどうですか - 端末識別子が個人関連情報に該当しうること、共用端末でも各利用者との関係で個人関連情報となりうることを示す個人情報保護委員会のFAQ。

6. 漏えい等の対応とお役立ち資料 - 速報の期限（概ね3〜5日以内）、確報の期限（原則30日以内、不正の目的による場合は60日以内）を示す個人情報保護委員会のページ。

7. 漏えい等報告・本人への通知の義務化について - 2022年4月1日施行、報告対象となる要配慮個人情報・財産的被害のおそれ・不正の目的によるおそれ・1,000人超の四類型を示す個人情報保護委員会の公式ページ。

8. 個人情報の保護に関する法律についてのガイドライン（通則編） - 本人通知に含めるべき事項（概要・個人データの項目・原因・二次被害またはそのおそれ・その他参考となる事項）を示すガイドライン。

この文書は、Perplexity、Claude、OpenAI Codex の3つのAIの支援を受けて著述されたものです。引用画像を除き、MIT License にて提供されています。