情報流出は日本だけ？ 世界各国で相次ぐ個人情報漏えい、海外の人々の反応を調査

（最終更新日：2026年10月18日）

2026年10月、デンマークで約880万人分の氏名や国民識別番号などが不正に参照されていたことが発覚しました。しかも、事件を発見したきっかけはセキュリティ警報ではなく、ある企業への不自然に高額な請求書だったといいます。

日本でも企業や行政機関からの情報流出がたびたびニュースになりますが、海外ではどのような事件が起きているのでしょうか。世界各国の公的発表や報道、現地の人々が寄せたコメントを調べてみました。

情報流出は日本だけではない。世界各国で起きた事件

2024年以降も、欧米やアジア、オセアニアの企業・行政機関で大規模な事件が相次いでいます。

主な事例をまとめると、次のようになります。

国	主な事件	影響の規模
アメリカ	2024年、医療関連企業Change Healthcareへのサイバー攻撃	約1億9,270万人
カナダ	2025年、小売大手Canadian Tireの通販サイト関連データベースへの不正アクセス	約3,830万件のメールアドレス
韓国	2025年、通販大手Coupangの顧客情報流出	会員約3,322万人に加え、配送先に登録された非会員約433万人の情報も対象
フランス	2026年2月公表、医療ソフトウェア企業Cegedim Santéへの不正アクセス	最大約1,500万人規模と報告
デンマーク	2026年、国民登録システムへの不正アクセス	約880万人分
イギリス	2026年、3空港の運営会社へのサイバー攻撃	約870万人
イギリス	2025年、小売大手Co-opへのサイバー攻撃	会員約650万人
オランダ	2026年、通信会社Odidoへのサイバー攻撃	約639万人
オーストラリア	2025年、航空大手Qantasへのサイバー攻撃	約567万件の顧客記録
ニュージーランド	2025年末、医療情報サービスManage My Healthへの不正アクセス	約10万人
シンガポール	2026年、政府機関の委託先が管理するシステムへの不正アクセス	約7万人

※事件ごとに人数、メールアドレス数、顧客記録数など集計対象が異なります。そのため、この表は被害の大きさを厳密に順位付けするものではありません。フランスの影響人数は調査時点の推計であり、デンマークの約880万人には死亡者や国外転出者なども含まれています。

アメリカのChange Healthcareは、病院や保険会社などの医療費請求・支払い処理を担う企業です。この事件では患者の個人情報が流出しただけでなく、医療費の請求処理にも混乱が生じました。

韓国のCoupang（クーパン）は、大手ネット通販サービスです。2026年6月に公表された韓国の個人情報保護当局の調査では、会員本人だけでなく、会員が配送先に指定した家族や知人の情報も流出対象に含まれていたとされています。

本人がそのサービスを利用していなくても、誰かが住所や連絡先を登録したことで情報流出に巻き込まれる場合があるのです。

各国では、こうした事件をめぐってどのような議論が起きているのでしょうか。

デンマーク「880万人分の情報流出を見つけたのは請求書」

2026年10月5日、デンマーク政府は、国民登録システム「CPR」で大規模な不正アクセスが発生したと公表しました。

CPRは、デンマークの住民などに識別番号を割り当て、氏名や住所といった基本情報を管理する制度です。日本のマイナンバーとは制度の仕組みが異なりますが、公的な本人識別に用いられる重要な番号です。

今回、何者かが民間企業に認められていた正規のアクセス権限を悪用し、約880万人分の情報を不正に参照していました。

問題が明らかになったのは10月2日。その発見の経緯も、デンマークで話題になりました。

同国の公共放送DRによると、異常を最初に知らせたのは自動監視システムではありません。大量の情報照会によって発生した、不自然に高額な請求書だったのです。

また、現地メディアでは、攻撃を実行したと名乗る人物が、企業側のアカウントに「123456」という単純なパスワードが使われていたと証言したことも報じられています。

Sådan blev CPR-databrud opdaget
by u/LuckyAstronomer4982 in Denmark

デンマークの話題を扱うRedditコミュニティ「r/Denmark」では、システムの安全対策に疑問が寄せられました。

ソフトウェア開発者として、アクセス回数の制限なんかについても知っているけど、そもそもこんなことが起きるのが信じられない。特にCPR番号みたいな重要な情報なのに。

異常なアクセスを検知する仕組みらしいものさえ実装していないのもひどい。まったく笑い話だよ。

— u/mortenmoulder

このコメントで触れられているのは、短時間に大量の情報が照会されることを制限したり、普段と違うアクセスを検知したりする仕組みです。

ただし、コメント欄には回数制限自体は存在したという情報もあり、実際の制限設定や監視体制の詳細については調査が必要です。

また、事件への反応は民間企業と行政機関の関係にも及びました。

私が知る限り、悪用されたのは民間企業の照会権限だったんだよね。その民間企業は、とんでもない失態を犯したわけだ。

— u/AstronautFlashy4447

デンマーク政府は悪用された企業のアクセスを停止し、警察などによる調査を進めています。

正規の権限を持つ企業を経由して大量の情報が参照されたことや、それが通常の監視ではなく請求額の異常から発覚したことが、今回の事件の特徴です。

ニュージーランド「40年前の医療記録まで入っていた」

2025年12月末、ニュージーランドの患者向け医療情報サービス「Manage My Health（以下、MMH）」で、大規模な情報流出が発覚しました。

MMHは、患者が医療機関の予約や検査結果の確認、処方薬の再発行依頼などに利用できるオンラインサービスです。

当初は約12万6,000人が影響を受けたと推定されていましたが、2026年5月に公表されたニュージーランドのプライバシー保護監督官の調査では、影響人数が99,416人に修正されています。

調査によると、攻撃者は盗まれた正規のログイン情報を使ってシステムに入り、ほかの患者の医療文書を大量に取得していました。

被害を受けたのは、サービス内にある「My Health Documents」という医療文書の保存機能です。システムに登録されていたすべての情報が盗まれたわけではありません。

ただし、この機能には病院からの退院情報や紹介状など、機密性の高い医療文書が保存されていました。

Manage My Health is a clown show
by u/FancyTrashy in newzealand

この事件について、ニュージーランドのRedditコミュニティ「r/newzealand」では、情報流出の規模だけでなく、患者自身が知らない間にどれほどの医療記録が登録されていたのかという問題も話題になりました。

Manage My Healthを使っていた期間だけの話じゃないよ。私のかかりつけ医は去年MMHに切り替えたんだけど、それまで保存していた検査結果や紹介状も遡って登録していた。

10年以上の医療情報が入っている可能性もある。

— u/random_guy_8735

これに対して、別の利用者はこう返信しています。

10年？ 私の場合は文字どおり40年前まで遡る記録が入っているよ。

— u/FidgitForgotHisL-P

こうしたコメントは、利用者が自分のアカウントに確認した情報についての体験談です。40年分の記録が実際に流出したと確認されたわけではありません。

一方、監督機関の調査では、影響を受けた患者の約91％がニュージーランド北島北部のノースランド地方に集中していたことが判明しました。

この地域では、保健当局が病院の記録を患者に提供するため、MMHと特別な連携を行っていました。その結果、通常よりも多くの医療文書が患者向けサービスに保存されていたのです。

また、今回の事件では、患者の心理的な負担についても声が上がりました。

私は精神医療サービスを利用していて、かなり重い診断を受けている。セキュリティの甘さや連絡対応、事件を軽く扱うような態度には、本当にがっかりしている。

もし自分のデータが流出していたら、プライバシー保護監督官にはどうやって苦情を申し立てればいいんだろう。保険会社や銀行の手に渡ったら、保険にも入れないし、融資も受けられなくなるんじゃないかと思う。

— u/Not-the-real-meh

この投稿は将来への不安を述べたもので、実際に保険加入や融資を断られたという報告ではありません。

医療情報は、名前や住所とは違い、病歴や診断内容など、本人が簡単に変更できない情報を含むことがあります。

そのため、情報の種類によっては、流出が与える影響も長く続く可能性があります。

今回の事件では、誰が安全管理の責任を負うのかについても議論が起きました。

かかりつけ医に電話して、受付スタッフを含む職員にひどい態度を取るのはやめてほしい。これは彼らのせいじゃないし、月曜日に大量の暴言を浴びせられる筋合いもない。

— u/Free_Ad7133

2026年5月、ニュージーランドのプライバシー保護監督官は、MMHの運営会社だけでなく、保健当局Health New Zealandにも安全管理上の問題があったと認定しました。

運営会社については、多要素認証（パスワードだけでなく、認証アプリなど別の手段も組み合わせて本人確認を行う仕組み）が必須になっていなかったことや、ほかの患者の情報を取得できてしまうアクセス管理の不備などを指摘しています。

保健当局については、委託先の安全対策の確認や、契約・リスク評価が不十分だったと判断しました。

一方、流出した医療文書の保存については、通常の診療所が直接管理していたものではないとして、個々の診療所に法的責任があった可能性は低いとしています。

2026年9月には、運営会社と保健当局の双方に正式な是正命令が出されました。

患者から見ると一つの医療サービスでも、その裏側では複数の組織が情報を管理していることがあります。今回の調査では、それぞれの組織が負うべき責任まで問われることになりました。

フランス「患者の情報だけでなく、医師のメモまで」

医療情報をめぐる大規模な流出は、フランスでも発覚しました。

2026年2月、フランスの医療ソフトウェア企業Cegedim Santé（セジェディム・サンテ）が提供するサービスから、患者の情報が不正に取得されていたことが明らかになりました。

同社は2025年末に不審なアクセスを検知し、2026年2月26日に事件を公表しています。

同社が提供する「MonLogicielMedical」は、医師が患者の情報や診療に関する業務を管理するためのソフトウェアです。

フランス保健省は、最大約1,500万人の患者が影響を受けた可能性があると説明しました。ただし、情報保護当局CNILは発覚当時、この人数を確定できていないとしています。

Cegedim Santéは、影響を受けた医師は約1,500人で、取得された情報は患者の氏名、住所、生年月日、連絡先などを含む管理用の記録だったと説明しています。

また、一部の患者については、医師が自由記述欄に残した個人的なメモが含まれていた可能性も認めました。一方で、診療情報を体系的にまとめた医療記録そのものは影響を受けていないと主張しています。

問題になったのは、流出した可能性のあるメモの内容でした。

現地報道では、患者の病気や私生活に関する、本人が知られたくない情報を含む記述が見つかったとされています。

この事件を扱ったRedditコミュニティ「r/france」では、流出への怒りだけでなく、そもそも医師が患者についてどのようなメモを残しているのかという議論が起きました。

ENQUETE FRANCETV. Une fuite de données médicales inquiète en France, entre 11 et 15 millions de personnes touchées
by u/SweeneyisMad in france

また、報道で流出データの一部が紹介されたことについて、別の問題を指摘する声もありました。

擁護しているわけじゃないよ。実際のところは分からないから。例えば、患者に電話をかけ直して、エイズだと伝えるための個人的なメモだった可能性もある。

でも、私が本当に気になるのは、元データのスクリーンショットや引用、動画が、書かれていた言葉をそのまま使って公開されていることなんだ。その言葉でデータベースを検索すれば、その人が誰なのか分かってしまう。

— u/SweeneyisMad

被害の実態を伝えるための報道であっても、実際の記述を公開することで本人を特定できてしまう可能性がある、という指摘です。

情報流出への反応には、こんな皮肉もありました。

以前にも医療情報の流出ってなかったっけ？ もしまだ起きていなかったなら、それこそ奇跡だったと思う。

— u/julienktl

同年8月には、フランスの別のRedditスレッドで「なぜこれほど深刻な情報流出が多いのか」という疑問が投稿されました。

そのなかで挙げられたのが、セキュリティ対策にかける費用の問題です。

セキュリティにはお金がかかる。ものすごくね。

しかも目に見えないコストだから、誰も予算を持っていないんだ。

— u/Mushroom_Unfair

もちろん、このコメントだけでCegedim Santéの事件の原因を説明できるわけではありません。

ただ、医療情報のような機密性の高いデータを扱う場合、情報を守るための費用や体制をどう確保するのかという問題は避けて通れません。

シンガポール「責任まで外注できるのか？」

2026年7月、シンガポールの土地管理局（SLA）は、約7万人の個人情報が不正アクセスの対象になったと発表しました。

今回問題となったのは、SLAが委託する米IT大手IBMのクラウド環境です。クラウド環境とは、外部の事業者が提供するサーバーなどを利用して、データの保存やシステムの運用を行う仕組みを指します。

土地の登記などに使われるシステムの開発・テスト用に、1998年に作られ、その後も更新されていたデータが不正アクセスを受けました。

本来、テストには架空の情報や個人を特定できないよう加工した情報を使う予定でした。

ところが、実際には氏名や国民登録番号、当時の住所などが含まれていました。SLAは、実際に業務で使用している本番システムへの侵入は確認されていないとしています。

Data of 70,000 people compromised after cybersecurity incident involving SLA vendor and its cloud
by u/Fearless_Help_8231 in singapore

この事件を扱ったRedditコミュニティ「r/singapore」では、なぜ実際の個人情報がテスト環境に入っていたのかという疑問に加え、委託先と行政機関の責任が議論されました。

じゃあSLAも責任を問われるの？ それとも責任まで外注できるの？

記事は全部IBMのせいにしていて、SLA自身の責任については一言も触れていない。

— u/Moist-Safety4443

このコメントへの返信では、原因を作った当事者と、市民に対して責任を負う組織は分けて考えるべきだという意見も寄せられました。

あなたが話しているのは誰の過失なのかということ。でも、私が話しているのは責任についてだよ。

市民がデータを預けたのは委託先ではなくSLAだ。SLAには市民に対する最終的な責任があるし、委託先のせいだと言ってその責任を外注することはできない。

市民が委託先を選んで監査したわけじゃない。選んで監査したのはSLAだ。

毎回、委託先のせいにして罰金を科すだけで、自分たちは何の責任も負わずに済むなら、もっと適切に委託先を選ぶ動機なんて生まれないよ。

— u/Moist-Safety4443

シンガポール法務省は、8月の国会答弁で、個人情報が適切に匿名化されていなかったことを確認したと説明しています。

ただし、具体的な責任分担や契約上の措置については、調査で事実関係を明らかにしてから判断するとしています。

今回の事件では、実際に業務で使う本番システムへの侵入は確認されませんでした。しかし、開発・テスト用の古いデータに実在の個人情報が残されており、不正アクセスの対象になっていたのです。

オーストラリア「電話一本で、顧客情報にアクセスされた？」

2025年7月、オーストラリアの航空大手Qantas（カンタス航空）が大規模なサイバー攻撃を受けたと発表しました。

影響を受けた顧客記録は約567万件。そのうち約512万人分がオーストラリア国内の顧客に関する情報だったと、2026年7月の監督機関の報告では説明されています。

氏名やメールアドレス、電話番号、生年月日などが流出対象に含まれていましたが、記録によって含まれる情報は異なります。

この事件で注目されたのが、攻撃の方法です。

攻撃者は、Qantasが海外に委託していたコールセンターの従業員に、QantasのITサポート担当者を装って電話をかけました。

そして、従業員に顧客管理システムのウェブサイトを開かせ、ITサポートへの問い合わせを終了するために必要だと説明して、一連の操作を指示しました。

その結果、従業員が利用していた顧客管理システムが攻撃者側のデータ抽出ツールに接続され、従業員がアクセスできる顧客情報が持ち出されました。

こうした、人をだまして情報やシステムへのアクセスを得る手口は、ソーシャルエンジニアリングと呼ばれます。

Qantas data breach: call centre handed login details over to caller pretending to be someone else
by u/InbhirNis in QantasFrequentFlyer

RedditのQantas利用者向けコミュニティ「r/QantasFrequentFlyer」では、なぜ委託先を経由して大量の情報にアクセスできたのか、という疑問が寄せられました。

コールセンターの従業員一人分のログイン情報だけで、何百万人もの情報を抜き出せるようになっているべきじゃない。

— u/Glittering_Sail3262

また、すでに何度も情報流出を経験しているという人からは、半ば諦めたような声もありました。

Optusの情報流出、Medibankの情報流出、ServiceNSWの情報流出、それにほかにも何があったか分からないくらいだから、もうこういうことは現代生活の一部になってしまったよ。

起きても驚かなくなったし、自分の情報はもう全部どこかに出回っているものだと受け入れている。

— u/2nd-Reddit-Account

Optusはオーストラリアの大手通信会社、Medibankは大手民間医療保険会社、ServiceNSWはニューサウスウェールズ州の行政サービス窓口です。

ただし、この事件については、海外に委託したこと自体を原因とする見方への反論もありました。

コールセンターがオーストラリアにあったら、同じことが起きなかったと考える根拠は何？

今どきのハッキングのほとんどは、誰かが分かりやすい詐欺に引っかかって、システムに入るための鍵を渡してしまうようなものだよ。

— u/ImMalteserMan

こうした議論が続いた後、2026年7月にオーストラリアの個人情報保護監督機関OAICが予備調査の結果を公表しました。

約1年にわたる調査では、Qantasが実施していた安全対策や委託先の監督について、プライバシー法違反を疑わせる不備は確認されませんでした。

また、今回の攻撃について、Qantasが合理的に予見して防止できたとは考えられないと判断しています。

そのため、OAICは正式な違反認定に向けた調査には進まず、予備調査を終了しました。

ただし、これはQantasのあらゆる安全対策が十分だったと保証するものではなく、当局もその点を明記しています。

イギリス「会員登録しただけなのに、情報が流出した」

2025年4月、イギリスの小売大手Co-op（コープ）がサイバー攻撃を受けました。

Co-opは食品スーパーのほか、葬儀関連サービスなども展開する協同組合です。会員になると、店舗での買い物などで会員向けの特典を利用できます。

同年7月、Co-opの最高経営責任者は、約650万人の会員全員の個人情報が盗まれたことを認めました。

流出したのは氏名や住所、連絡先などです。Co-opは、パスワードや銀行口座、クレジットカード情報、購入履歴などは流出対象に含まれていないと説明しています。

攻撃の影響は情報流出だけにとどまりませんでした。

同社は一部のITシステムを停止し、商品の発注や在庫管理などにも支障が生じました。店舗の棚から商品が不足する事態も起きています。

Co-op boss confirms all 6.5m members had data stolen
by u/CaseyEffingRyback in unitedkingdom

この事件を扱ったRedditコミュニティ「r/unitedkingdom」では、会員向けサービスのために個人情報を登録することへの不満が寄せられました。

普通の値段で買い物するために会員カードへ登録させておいて、今度は個人情報を盗まれたってわけか。

責任者たちは、こんな大失態を起こしてもどうして刑務所に入らずに済むんだ？

— u/curioustis

また、企業への制裁と被害者への補償を求める声もありました。

GDPRに基づいて相当な額の罰金を科して、そのお金を影響を受けた顧客に分配するべきだと思う。

そうすれば、今後は個人情報の保護をもっと真剣に考えるようになるかもしれない。

— u/legentofreddit

GDPRとは、EUの一般データ保護規則です。イギリスではEU離脱後も、国内法として調整されたUK GDPRが個人情報保護の基本的な制度になっています。

一方で、罰金を重くすることへの疑問も寄せられました。

でも、それでは何の解決にもならないよ。企業が高額な保険に加入するようになって、結局は私たちみんなが、ほとんどあらゆるものにもっと高いお金を払うことになるだけだ。

— u/Mabenue

実際、Co-opは2026年3月、前年のサイバー攻撃が利益に約1億700万ポンドの影響を与えたと公表しています。

顧客情報だけでなく、普段の買い物や店舗の営業にも影響が及んだ事件でした。

イギリスでは、空港利用者の情報も流出

その翌年の2026年8月には、空港運営会社Manchester Airports Group（マンチェスター・エアポーツ・グループ）もサイバー攻撃を受けました。

同社はマンチェスター空港、ロンドン・スタンステッド空港、イースト・ミッドランズ空港を運営しており、約870万人の顧客情報が流出したと報じられています。

流出した情報は主にメールアドレスでしたが、駐車場やラウンジなどの予約に関連する電話番号、車両登録番号（車のナンバープレートに記された番号）、郵便番号も含まれていました。

銀行口座や決済情報は影響を受けていないと説明されています。

Data stolen from 8.7 million customers after three airports targeted in cyber attack
by u/topotaul in unitedkingdom

Redditでは、ずっと以前に空港を利用した人から困惑する声が上がりました。

3年前にマンチェスター空港で駐車場を使ったんだけど、今日、情報流出の通知が届いた。3年間も私たちの情報を保存しておく必要なんてないよ。

— u/decidedlyindecisive

私が最後にそこから飛行機に乗ったのは2018年2月だよ。もう8年半も利用していないのに、まだデータを保管しているんだ。

— u/Numerous_Green4962

ただし、これらのコメントだけでは、空港運営会社が実際に何年間その情報を保存していたのかまでは分かりません。

また、情報の保存については、こんな反論も寄せられています。

どんなものも守られている。守られなくなるその時まではね。

君が言っているのは、文字どおり企業は一切情報を保存するなということだ。そんなの現実的じゃない。

— u/KoffieCreamer

企業がサービスを提供したり、法令上の義務を果たしたりするために、一定期間情報を保存する必要がある場合もあります。

ただ、その情報をいつまで残すのかという問題は、外部からの不正アクセスを防ぐ対策とは別に考えなければなりません。

実際、韓国のCoupangの事件では、退会した利用者の配送先情報や口座番号などが適切に削除されていなかったことを、韓国の個人情報保護当局が問題視しています。

オランダ「漏れたあとも詐欺メールが止まらない」

2026年2月、オランダの通信会社Odido（オディド）がサイバー攻撃を受けました。

同社がその後公表した調査結果によると、影響を受けたのは約639万人。現在の利用者だけでなく、すでに解約した人も含まれています。

漏れた可能性のある情報は人によって異なり、氏名や住所、電話番号、メールアドレス、銀行口座番号、本人確認書類の番号などが含まれていました。

一方、同社はログイン用パスワードや通話履歴、位置情報、身分証明書の画像などは流出していないと説明しています。

この事件では、流出後の二次被害も問題になりました。

オランダのセキュリティ企業Hackifyは、流出したデータに含まれていた2つのメールアドレスを約150日間調査し、計61通のフィッシングメールを確認しました。さらに現地報道によると、同社はこれらのメールが約30種類の詐欺キャンペーンに由来すると推定しています。

フィッシングとは、企業や公的機関などを装ったメールやウェブサイトを使い、パスワードや金銭などをだまし取ろうとする詐欺の手口です。

Odido betaalt geen losgeld, criminelen publiceren deel gestolen klantgegevens
by u/ALollef in thenetherlands

Redditのオランダ関連コミュニティでも、情報流出後の不安が語られました。

ちなみに、Odidoが送ってきたメールもひどかった。

「私たちはサイバー攻撃の被害者になりました」だって。

いや、被害者じゃない。管理を怠ったんだ。それを結論にするべきだろ。

私はもう2年以上前に解約しているのに、それでも私の情報がどこかに保管されていて、今ではネット上で見つかるんだ。

— u/Strontrammel

攻撃を受けた企業が犯罪者による被害者であることと、利用者の情報を適切に守っていたかどうかは別の問題です。

また、情報を流出させた企業との契約を解約しても、すでに流出したデータを取り戻せるわけではありません。

メールアドレスや電話番号、住所などが一度知られると、その後も不審な連絡やなりすましへの警戒が必要になることがあります。

カナダ「情報流出を企業ではなく、別のサイトから知った」

2025年10月、カナダの大手小売企業Canadian Tire（カナディアン・タイヤ）が、通販サイト関連のデータベースへの不正アクセスを受けました。

Canadian Tireは自動車用品や生活用品などを扱う小売チェーンです。今回の事件では、同社だけでなく、グループ内の複数の通販サービスに関する顧客情報が影響を受けました。

2026年2月、流出した情報が「Have I Been Pwned」というサービスに登録されたことで、その規模が改めて注目されました。

Have I Been Pwnedは、自分のメールアドレスが既知の情報流出に含まれていないかを確認できるサービスです。

登録されたデータには約4,200万件の記録があり、そのうち約3,830万件は重複しないメールアドレスでした。

これは約3,830万人のカナダ人が被害を受けたという意味ではありません。ひとりが複数のアドレスやアカウントを持つ場合もあり、国外の利用者が含まれる可能性もあります。

Canadian Tire Data Breach
by u/roddyrichh97 in PersonalFinanceCanada

実際、Redditコミュニティ「r/PersonalFinanceCanada」では、人数の多さをめぐって冗談も交わされていました。

3,800万人のカナダ人がそれぞれアカウントを持っていると本気で思っているなんて、すごいな。

— u/West-Ticket5411

その3,800万件のうち、2件は私のだよ。どうやら2回登録していたらしい。

— u/Egremont42

流出情報には、氏名や住所、メールアドレスなどのほか、ハッシュ化されたパスワード（元の文字列をそのまま保存せず、一定の計算で変換したもの）や、一部が隠されたクレジットカード番号なども含まれていました。

Canadian Tireは、銀行口座の情報やポイントサービス「Triangle Rewards」のデータは影響を受けていないと説明しています。

この事件のスレッドで特に目立ったのは、流出したことを企業から知らされていなかったという利用者の不満でした。

どうしてCanadian Tireからではなく、ニュースやインターネット、Have I Been Pwnedでこの情報流出を知ることになるんだ？

利用者に連絡したり、Equifaxの信用情報監視サービスを提供したりするお金を節約して、投資家のために残しているのか？

— u/tecknoguy

Equifaxは、個人のローンやクレジットカードの利用・返済状況などを扱う信用情報会社です。

また、長年使ってきたメールアドレスが初めて流出対象になったという人もいました。

私には何の通知も来なかった。情報流出が起きた頃に強制的にログアウトさせられたのは覚えているし、当時は原因を調べようとしたけど、何も見つからなかった。

今は腹が立っているよ。20年以上、一度も情報流出に巻き込まれずに済んでいたメールアドレスが、初めて流出したんだから。

— u/FirstSurvivor

ただし、企業側は誰にも連絡していなかったわけではありません。

Canadian Tireは、詳しい個人情報が含まれると判断したアカウントの保有者には、信用情報会社TransUnion Canadaを通じてメールまたは郵便で通知したと説明しています。

つまり、企業が通知対象とした範囲と、Have I Been Pwnedで自分のメールアドレスを発見した人の範囲が、必ずしも一致していなかったということです。

情報流出が発覚したあと、企業が誰に、何を、どのように知らせるのか。その判断も、利用者にとっては大きな問題になっていました。

アメリカ「無料の信用情報監視だけで済ませるの？」

情報流出が発覚したあと、被害者にどのような対応をするべきかという問題は、アメリカでも議論されています。

Conduent data breach could be largest in U.S. history
by u/lurker_bee in technology

2026年2月、IT関連Redditコミュニティ「r/technology」では、企業や行政機関向けにデータ処理などを手がけるConduent（コンデュエント）の大規模な情報流出をめぐって、補償に関する議論が起きました。

アメリカでは、個人情報が流出した人に対して、本人名義で不審な借り入れなどが行われていないかを確認できる「信用情報監視サービス」を一定期間無料で提供する場合があります。

しかし、その対応に納得できない人もいました。

「信用情報の無料監視サービスを提供します」だって。

ふざけた話だ。これだけ頻繁に情報流出が起きるなら、信用情報の監視は最初から無料であるべきだろう。

もし費用がかかるなら、企業がお金を出し合って全員分を賄う仕組みにすべきだ。

主に他人の失敗のせいで必要になったサービスに、どうしてあなたや私がお金を払わなきゃいけないんだ？

— u/CondescendingShitbag

このスレッドでは、アメリカの信用情報機関に対して、自分の信用情報を金融機関などが新たに照会できないようにし、不正な借り入れを防ぐ「信用情報の凍結」を利用しているという人もいました。

信用情報機関とは、ローンやクレジットカードの契約・返済情報などを管理する機関です。信用情報の凍結は、不正な新規借り入れを防ぐのに役立ちますが、すべての不正利用を防止するものではありません。

今回追加したカナダのスレッドでも、同じように信用情報の凍結を求める声がありました。

ただし、利用できる制度には国や地域によって違いがあります。カナダでも、ケベック州や、2026年7月1日から制度が導入されたオンタリオ州では信用情報の凍結が利用できますが、ほかの地域では対応が異なります。

情報が流出したあとに本人が不正利用を監視したり、各種の手続きを行ったりしなければならないという負担は、複数の国で議論になっていました。

情報流出を繰り返し経験する人たちの自衛策

各国のRedditでは、情報流出を経験した人たちが、自分なりの対策を紹介する姿も見られます。

例えば、オーストラリアのQantasの事件を扱ったスレッドでは、以前にも別の企業から個人情報が流出した経験を持つ人が、メールアドレスを銀行用、行政サービス用、一般の買い物用に分けたり、通販サイトへ自宅住所をできるだけ登録しないようにしたりする工夫を紹介していました。

また、今回のカナダのスレッドでも、サービスごとに異なるメールアドレスを使うことで、どこから情報が漏れたのか分かりやすくしているという意見がありました。

ただ、一度流出した個人情報は、パスワードのように簡単に変更できるものばかりではありません。何年も前に利用したサービスや、本人の知らないところにまで情報が残っているとなると、利用者だけでは対処しきれない問題ですね。

サイバーセキュリティお嬢様と学ぶ　情報セキュリティの基本

￥2,310円 税込(2026年10月18日時点）

Amazon.co.jpで見る

参考情報と翻訳元

各国の事件・制度に関する資料

• 米保健福祉省「Change Healthcare Cybersecurity Incident Frequently Asked Questions」 — Change Healthcare事件と行政対応。
• Reuters「Hack at UnitedHealth’s tech unit impacted 192.7 million people」 — Change Healthcare事件の影響人数。
• 韓国個人情報保護委員会「The PIPC Sanctions Coupang and CFS for Data Breaches and Infringements on Privacy」 — Coupang事件の調査結果。
• デンマーク政府「Omfattende uautoriseret adgang til borgeres CPR-oplysninger」 — CPRへの不正アクセスに関する公式発表。
• The Register「’123456′ password linked to Denmark data breach affecting 8.8M people」 — デンマーク事件に関する侵入者の証言。
• ニュージーランド・プライバシーコミッショナー事務局「Manage My Health Inquiry — Executive summary」 — 被害人数、原因、運営会社と保健当局の責任に関する2026年5月の調査結果。
• ニュージーランド・プライバシーコミッショナー事務局「Privacy Commissioner issues Compliance Notices to Manage My Health and Health NZ」 — 2026年9月の是正命令。
• Cegedim「Statement regarding the report broadcast during France 2 TV’s 8 p.m. news program」 — フランスの医療情報流出事件に関する企業側の説明。
• フランス国民議会「Données médicales piratées : quelles garanties ?」 — フランス保健省が示した影響規模などを取り上げた議会質問。
• AFP配信・Europe 1「Cyberattaque dans la santé : la Cnil ne confirme pas à ce stade le nombre de personnes touchées」 — フランスの医療情報流出の推定規模とCNILの説明。
• Singapore Land Authority「Security Incident Involving an IBM-managed Cloud Environment」 — シンガポール土地管理局による公式発表。
• シンガポール法務省「Oral Answer on the Singapore Land Authority Data Security Incident」 — 委託先の管理と責任分担に関する国会答弁。
• OAIC「Report into preliminary inquiries of Qantas」 — Qantas事件の発生経緯と2026年7月の予備調査結果。
• Co-op「Cyber Incident Update」 — Co-opによる公式発表。
• The Guardian「Co-op boss admits all 6.5m members had data stolen in cyber-attack」 — Co-op事件の影響人数。
• Co-op「Co-op navigates headwinds and looks forward with confidence, clarity and purpose」 — サイバー攻撃による業績への影響。
• Manchester Airports Group「Data Security Incident」 — 英国3空港に関係する情報流出の公式説明。
• The Register「Cybercrooks jet off with Manchester Airports Group customer data」 — 英国の空港事件の影響規模。
• Odido「Update about cyberattack」 — オランダの通信会社による流出情報の説明。
• Hackify「Odido data breach: 150 days and 61 phishing emails later」 — フィッシングメールの追跡調査。
• Tweakers「Dertig phishingcampagnes benutten uitgelekte klantdata van Odido」 — 約30種類の詐欺キャンペーンに関する現地報道。
• Canadian Tire Corporation「Cyber Incident」 — 事件の概要、流出情報、通知方針。
• Have I Been Pwned「Canadian Tire Data Breach」 — 約4,200万件の記録、約3,830万件のメールアドレスの集計。
• 米消費者金融保護局「What is a credit freeze or security freeze on my credit report?」 — アメリカの信用情報凍結制度。
• オンタリオ州政府「Credit reports」 — 2026年7月1日からの信用情報凍結制度。

Reddit翻訳元

• Reddit「Sådan blev CPR-databrud opdaget」 — デンマークの国民登録情報流出。
• Reddit「Manage My Health is a clown show」 — ニュージーランドの医療情報流出。
• Reddit「ENQUETE FRANCETV. Une fuite de données médicales inquiète en France」 — フランスの医療情報流出。
• Reddit「Pourquoi autant de fuites de données/piratages graves en France?」 — フランスのセキュリティ対策をめぐる議論。
• Reddit「Data of 70,000 people compromised after cybersecurity incident involving SLA vendor and its cloud」 — シンガポールの委託先管理問題。
• Reddit「Qantas data breach: call centre handed login details over to caller pretending to be someone else」 — Qantasの委託先と情報流出。
• Reddit「Co-op boss confirms all 6.5m members had data stolen」 — Co-opの会員情報流出。
• Reddit「Data stolen from 8.7 million customers after three airports targeted in cyber attack」 — 英国空港運営会社の情報流出。
• Reddit「Odido betaalt geen losgeld, criminelen publiceren deel gestolen klantgegevens」 — オランダのOdido事件。
• Reddit「Canadian Tire Data Breach」 — カナダの小売企業の情報流出。
• Reddit「Conduent data breach could be largest in U.S. history」 — アメリカの情報流出と補償問題。
• Reddit「Qantas confirmed 5.7 million customers were impacted in cyber attack」 — オーストラリアでの情報流出と自衛策。