【11/3】ダークウェブで日本人の個人情報が1週間500万件超｜S2W分析とGMO会見、今やること

ダークウェブで日本人の個人情報の取引が急に増えています。テレビ朝日（ANN）は11月3日、サイバーセキュリティー会社「S2W」の三好平太代表取締役がダークウェブなどを分析した結果として、日本に関係する個人情報の流出が直近1週間で500万件以上にのぼると報じました。同じ報道では、GMOインターネットグループの熊谷正寿代表が11月2日の会見で不正アクセス問題を謝罪したことも伝えています。

この記事では、報道と各社の発表で確認できた事実をもとに、ダークウェブで何が売られているのか、GMOの会見で何が明らかになったのか、10月から相次いだ流出の発表、そして自分の情報が心配なときに今やることを整理します。数字の数え方がまだ公表されていない点も、そのまま書きます。

ダークウェブで日本人の個人情報が急増とは？1週間で500万件以上

日本に関係する個人情報がダークウェブなどで大量に出回り、直近1週間の流出が500万件以上にのぼったと報じられています。

ダークウェブは、通常の検索エンジンでは見つからず、特別なソフトを使わないと接続できないネット上の領域です。盗まれた個人情報やカード情報、攻撃用のツールが売り買いされる場として知られています。テレビ朝日の11月3日の報道は、サイバー攻撃による情報漏えいが相次ぐなかで、世界各地のこうした場で日本人の個人情報の取引が急に増えていると伝えました。

S2Wの三好平太代表が示した数字

流出は直近1週間で500万件以上、販売例は420万件が約4万円、マイナンバーカードなどが約25万円です。

下の表は、テレビ朝日の報道で確認できる数字をまとめたものです。

420万件が約4万円という値段は、1件あたりに直すと1円にもなりません。大量の情報がまとめて安く出回っている一方で、本人確認書類に関わる情報は高い値段が付いていることが分かります。

「500万件」の数え方はまだ公表されていない

500万件が何を1件と数えたのか、重複を除いたのかは、11月3日時点の報道では示されていません。

ダークウェブでは、同じ流出データが別の場所で何度も売りに出されたり、古いデータが新しい名前で再掲されたりすることがあります。そのため「1週間で500万人の日本人の情報が新たに漏れた」とまでは言えません。報道が示したのはS2Wの分析による件数で、集計の方法や対象の範囲が公表されたら、それに合わせて読み直す必要があります（編集部分析）。

ダークウェブでは日本人の情報がいくらで売られているか

今回報じられた事例では、大量の個人情報が約4万円、本人確認書類に関わる情報が約25万円で売られていました。

読売新聞は11月1日、三井物産セキュアディレクション（東京）の調査として、ハッカーらが集まる闇サイトで日本の個人情報への関心が高まっていると報じました。同じ報道では、クレジットカード情報は1件約3800円で取引されているとみられ、漏えいを公表した企業の情報を求める動きもあるとしています。

下の表は、報道に出た値段を並べたものです。調べた会社も時期も違うので、単純に比べることはできません。

カード情報は不正な決済に使われるおそれがあり、今回の報道では1件約3800円とされています。氏名や住所、メールアドレスの束は値段が安くても、詐欺メールや電話の「名簿」として使われるおそれがあります（編集部分析）。

GMO熊谷代表は11月2日の会見で何を謝罪したか

熊谷代表は、不正アクセスから顧客を守れなかったことと、事前の指摘を生かせなかったことを謝罪しました。

時事通信の会見詳報によると、GMOインターネットグループの熊谷正寿代表は11月2日に記者会見を開き、「お客様を守ることができなかった」と謝罪しました。この問題は、FXの自動売買などに使われるクラウド型のサービス「お名前.com デスクトップクラウド」が攻撃を受け、利用者の取引口座の情報が不正に使われたものです。当サイトでは10月27日の攻撃予告の時点で、お名前.com デスクトップクラウドへの攻撃予告と補償の中身をまとめています。

お名前.com デスクトップクラウドへの侵入の流れ

攻撃者は8月5日に侵入し、GMOが確認したのは10月20日で、2か月以上気づけませんでした。

下の図は、時事通信の会見詳報に出た日付を順に並べたものです。

対象となった仮想マシン（サーバー）は2万6739台で、サービスは会見の時点でも止まったままでした。時事通信はこの数字を対象の顧客2万6739件と伝えていますが、いずれにしても情報の流出が確定した人の数ではない点に注意が必要です。

80億円の要求と補償・見舞金

GMOは80億円の要求に応じない方針で、情報を公開された利用者には1公開あたり上限300万円の見舞金を払うとしています。

お名前.comが10月27日に出したお知らせ（第12報）によると、GMOは攻撃者に情報を公開されたと同社が確認した利用者への「特別お見舞金」を決め、対象者には個別に連絡するとしています。基本情報は1万円、取引口座のIDやパスワードなどは1万5000円、機微な情報は2万5000円で、複数の区分が公開された場合は合計し、上限は1公開あたり300万円です。一律5000円のお見舞金や不正取引の補償とは別に払われます。Impress Watchによると、犯人につながる情報に総額100万米ドルを上限とする懸賞金の制度も作りました。ScanNetSecurityによると、サービスを使っている全利用者には、被害の有無にかかわらず一律5000円のお見舞金を払うとしています。

2024年の指摘を生かせなかった

2024年4月にグループ内の専門家が改善点を報告していたのに、対策が不十分だったと熊谷代表は認めました。

時事通信の会見詳報によると、2024年4月24日にグループ会社「GMOサイバーセキュリティbyイエラエ」の専門家から改善点の報告があり、4月26日から5月20日にかけて緊急メンテナンスを4回行いましたが、対策は十分ではありませんでした。テレビ朝日の報道では、熊谷代表は北朝鮮のハッカーが関わっているかを問われ、調査中だとして国名などを明らかにしませんでした。

なぜ日本の個人情報が狙われるのか

一因として専門家は、AIの広がりで日本語の不自然さが消え、日本を狙う攻撃の敷居が下がったと指摘しています。

テレビ朝日の報道によると、専門家は、AIの普及で不自然でない日本語の詐欺メールや攻撃が簡単になったとみています。これまでは日本語の壁が一種の守りになっていましたが、それが薄れているということです。熊谷代表も会見で、相次ぐ情報漏えいの一因としてAIの急な発展を挙げ、今の混乱は「まだプロローグ」だと強い危機感を示しました（時事通信）。

読売新聞が伝えた三井物産セキュアディレクションの調査では、漏えいを公表した企業の情報を求める動きも闇サイトで見られたとされています。一度漏れた情報が別の攻撃の足がかりにされ、被害がつながっていくおそれがあります。企業の発表を待つだけでなく、利用者の側でも守りを固めておく時期に来ています（編集部分析）。

10月以降に発表が続いた主な情報流出

10月以降、数百万件から数千万件の規模の流出の発表が、通販や配送、ソフト販売の会社で相次ぎました。

下の表は、当サイトで取り上げた主な発表をまとめたものです。件数の単位（件・人）は各社の発表に合わせています。それぞれ別の会社・別の原因の事案で、ダークウェブで売られているデータとの関係は発表されていません。

テレビ朝日の報道では、スーパーの「ライフ」も個人情報の漏えいの可能性を発表したと伝えています。使っているサービスが多い人ほど、確かめておくべき各社の発表も増えます。

自分の情報が売られていないか不安なときに今やること

パスワードの使い回しをやめ、二段階認証を入れ、企業を名乗る連絡のリンクを開かないことが今すぐできる守りです。

ダークウェブにどの情報が出ているかを、個人が正確に確かめるのは難しいのが実情です。そこで「漏れているかもしれない」前提で、被害につながる道を先に塞いでおくのが現実的です。下の図は、やることを優先度の高い順に並べたものです。

個人情報保護委員会は、漏えいが起きたときの対応や相談先を漏えい等の対応とお役立ち資料にまとめています。不審なメールについては、フィッシング対策協議会が実際に出回っている偽メールの例を知らせています。どちらも公式のページなので、心配なときはここから確かめてください。

ネット銀行や証券を使っている人が先にやること

お金が動く口座は、ログインの通知を有効にし、出金先や取引の設定が変わっていないかを先に確かめます。

テレビ朝日の取材に、30代の人はネットバンクを使っているので残高が急に減らないか心配だと話し、50代の男性は2〜3社から情報が漏れたと感じていて、対象かどうかあいまいな連絡を受けて驚いたと話しました。お名前.com デスクトップクラウドの事案では、取引口座のログイン情報が盗まれ、わざと損をする取引が行われたと時事通信は伝えています。ネット銀行や証券、FXの口座は、ログインの通知メールを有効にし、登録されている出金先の口座や連絡先が変わっていないかを一度見ておくと、異変に早く気づけます。覚えのない取引やログインがあれば、すぐに各社の窓口に連絡してください。

ダークウェブを自分で見に行かない

自分の情報を探そうとダークウェブに接続するのは、詐欺やウイルスに遭う危険が大きいのでやめましょう。

見知らぬサイトでお金を払ったり、ファイルを開いたりダウンロードしたりすると、詐欺やウイルスの被害に遭う危険があります。「あなたの情報が漏れていないか調べます」とうたう有料の案内にも注意が必要です（編集部分析）。GMOも、攻撃者が公開した情報の転載や再投稿、そこへ誘うリンクの共有を控えるよう呼びかけています（Impress Watch）。気になる人は、利用している企業からの正式な通知と、公的機関の案内で確かめるのが安全です。

ダークウェブの情報流出のよくある質問

自分が含まれるかの確かめ方、GMOの相談窓口、通知が来ない場合について、11月3日時点で分かっている範囲をまとめます。

500万件という数字の中身や、GMOの事案の原因の調べは、まだ続いています。新しい発表が出たら、この記事の内容とあわせて確かめてください。

参考情報

• 時事通信「【会見詳報】ＧＭＯ熊谷氏『お客様守れなかった』、ＡＩ急発展を挙げ『犯罪者がネットを汚染』」（2026年11月2日） https://www.jiji.com/jc/v8?id=202611GMO-team
• お名前.com「【重要】『お名前.com デスクトップクラウド』への不正アクセスに関する現在の対応について（第12報）」（2026年10月27日） https://www.onamae.com/news/article/11615
• お名前.com「『お名前.com デスクトップクラウド』への不正アクセスに関する現在の対応について（第15報）」（2026年10月29日） https://www.onamae.com/news/article/11623
• Impress Watch「GMO、不正アクセス攻撃者情報に1.5億円の『懸賞金』 被害者には最大300万円」（2026年10月27日） https://watch.impress.co.jp/docs/news/2151655.html
• ScanNetSecurity「『お名前.com デスクトップクラウド』に不正アクセス、見舞金として一律 5,000円を支払い」（2026年10月27日） https://scan.netsecurity.ne.jp/article/2026/10/27/56587.html
• 株式会社ノジマ「ノジマオンラインの不正アクセスに伴う個人情報漏えいに関するお詫びとお知らせ」（2026年11月2日） https://www.nojima.co.jp/wp-content/uploads/2026/11/fa47750556e505f2ddb83dc080a6420f.pdf
• 個人情報保護委員会「漏えい等の対応とお役立ち資料」 https://www.ppc.go.jp/personalinfo/legal/leakAction/
• フィッシング対策協議会 https://www.antiphishing.jp/
• テレビ朝日（ANN）「ダークウェブで日本人の個人情報の取引急増 世界で500万件以上も GMO社長会見で謝罪」（2026年11月3日）
• 読売新聞「闇サイトで日本への関心高まる クレカ情報は1件約3800円で取引か」（2026年11月1日）