マイナンバー漏えいの原因は、大きく分けると次の4種類です。
1. 人為的ミスによる誤送信・誤交付
2. サイバー攻撃やランサムウェアによる不正アクセス
3. 書類・USBメモリ・外付けHDDなどの紛失
4. 委託先や再委託先の管理体制の不備
マイナンバーは、勤務先の給与計算、社会保険の手続き、税務関係の書類などで使用されます。
そのため、企業や行政機関の担当者が送付先を間違えたり、ファイルの添付先を誤ったりすると、番号を含む個人情報が外部に渡る可能性があります。
2026年1月の農林水産省の事案では、給与関係の税務処理に使用する情報の送信先メールアドレスを誤ったことが原因でした。
漏えい対象には、職員本人だけでなく家族の氏名やマイナンバー、給与情報なども含まれていました。
同省は、対象者を4,571人分と公表しています。
この事例が示しているのは、情報セキュリティ対策が高度なシステムだけの問題ではないということです。メールの宛先確認やファイルの送信手順といった基本的な業務管理も、個人情報を守るうえで欠かせません。
2. ランサムウェアによる不正アクセスサイバー攻撃では、企業や行政機関のサーバーに侵入され、保存されている個人情報が暗号化されたり、外部に持ち出されたりする危険があります。
特に問題となるのが、VPN機器の脆弱性、古いソフトウェアの放置、推測されやすいパスワード、不適切なアクセス権限などです。
個人情報保護委員会の令和7年度年次報告でも、企業への不正アクセスについて、公開済みの脆弱性への未対応や、ID・パスワードの管理不備、データベースのアクセス制御の設定ミスなどが指摘されています。
3. エムケイシステムのランサムウェア事案マイナンバー関連の情報管理を考えるうえで、重要な過去事例が株式会社エムケイシステムのサイバー攻撃です。
同社は、社会保険・人事労務業務支援システム「社労夢」シリーズなどを提供していました。
2023年、同社のデータセンター上のサーバーがランサムウェアによる不正アクセスを受け、システム上の個人データが暗号化されました。
同社は2023年7月31日に外部専門機関による調査結果を公表しています。
発表では、情報流出を確認できる痕跡やデータの外部転送の痕跡は確認されなかった一方、攻撃の性質上、データが窃取された可能性を完全には否定できないと説明しました。
また、マイナンバーについては高度な暗号化処理を施しており、流出のおそれがある情報の範囲には含まれていないとしています。
この事案が2026年の統計にも関係しているのは、個人情報保護委員会が委託元から受け付けた報告の件数です。
令和6年度の年次報告によると、特定個人情報の漏えい等に関する報告処理2,052件のうち、エムケイシステムの事案に関連する報告は1,726件でした。
ここで注意すべきなのは、1,726件が1,726人の被害を意味するわけではないことです。多数の委託元から個別の報告が寄せられた結果であり、マイナンバーそのものが1,726人分流出したという意味でもありません。
個人情報保護委員会は、同社のシステムでは原則としてマイナンバーを保管しない仕組みであり、管理する場合も高度な暗号化で秘匿化されていたことから、マイナンバー法上の報告対象事態には該当しなかったと説明しています。
この事案から学べることは、情報漏えいのおそれと、個人番号そのものの流出確認は別の問題だという点です。
4. 委託先・再委託先の管理不備2026年8月に公表された徳島県の事案も、情報管理の難しさを示しています。
住民基本台帳ネットワークシステムの機器更新に伴い、リース事業者へ返却されたバックアップ用外付けHDD2台について、再委託先でデータを消去しないまま廃棄された可能性が高いことが判明しました。
県の発表では、HDDに保存されていたのは住基ネットの操作履歴であり、住基ネットの情報そのものではありません。
ただし、操作履歴には氏名、住所、生年月日、性別、個人番号のいずれかを含むデータが延べ約46万件あり、そのうち個人番号を含むものは延べ約18万件とされています。
このケースでは、再委託が県の承認手続きを経ずに行われていた点も問題になりました。
個人情報を管理する企業や行政機関だけでなく、その先にいる委託先、再委託先まで管理できているかが問われます。
【仕組みを解説】マイナンバー情報連携はどうなっている？個人情報が芋づる式に漏れない理由
マイナンバー流出への不安を理解するには、情報連携の仕組みを知っておく必要があります。
「マイナンバーが漏れたら、国が保有する自分の情報を全部見られるのではないか」という疑問がありますが、実際の制度はそのような構造ではありません。
個人情報は一元管理ではなく分散管理マイナンバー制度では、個人情報を一つの巨大なデータベースに集約しているわけではありません。
例えば、次のように情報を管理する機関が分かれています。
- 税金に関する情報：税務署など
- 年金に関する情報：年金事務所など
- 児童手当や生活保護に関する情報：市区町村など
- 健康保険に関する情報：保険者など
それぞれの機関が必要な情報を管理し、法令で認められた行政手続きに必要な場合に情報連携を行います。
デジタル庁が2026年10月19日に更新した制度説明でも、情報連携は専用の「情報提供ネットワークシステム」を使って行うと説明されています。
情報連携ではマイナンバーそのものを直接使わない情報連携の重要な仕組みが、機関ごとに異なる符号を利用することです。
行政機関同士が個人情報をやり取りするとき、マイナンバーそのものを直接使用するのではなく、各機関に対応した符号を利用します。
この仕組みにより、一つの機関で情報が漏えいした場合でも、その情報を使って別の行政機関のデータベースに自由にアクセスできるわけではありません。
情報連携の基本的な考え方
個人情報を分散して管理し、行政機関同士の情報連携では専用の符号を使用する。マイナンバーを知っているだけで、各機関の情報を横断的に取得できる仕組みではない。
デジタル庁の個人情報保護FAQでも、個人情報の分散管理と、機関ごとに異なる暗号化された符号を使う仕組みが説明されています。
マイナポータルで情報のやり取りを確認できるもう一つ知っておきたいのが、マイナポータルの機能です。
マイナポータルでは、行政機関等の間でやり取りされた自分の個人情報の履歴を確認できます。
自分の情報がどのような行政手続きで使われたのかを確認する際に役立ちます。
ただし、すべての民間事業者による情報の取り扱いや、あらゆる情報アクセスが一覧で表示されるわけではありません。マイナポータルの履歴だけで、すべての漏えいの有無を判断できるわけではない点には注意が必要です。
銀行口座の登録制度と預金の安全性は別問題銀行口座とマイナンバーの関係については、2つの制度を混同しないことが大切です。
公金受取口座登録制度
国からの給付金などを受け取るために、本人名義の預貯金口座を登録する制度です。登録は任意で、一人につき一口座です。
預貯金口座付番制度
金融機関にマイナンバーを届け出て、預貯金口座と個人番号を関連付ける制度です。相続時や災害時に、口座の所在を確認しやすくする目的があります。
どちらも、マイナンバーを知った第三者が銀行口座の暗証番号を取得したり、預金を引き出したりするための制度ではありません。
【詐欺メールに注意】マイナンバー流出を装う偽メールの見分け方
マイナンバーの情報漏えいが報道されると、その不安につけ込んで個人情報を取得しようとする詐欺が発生する可能性があります。
特に警戒したいのが、行政機関や金融機関を装ったメール、SMS、電話です。
不審なメールに見られる5つの特徴1. マイナンバーの確認や再登録を急がせる
「本人確認が完了していません」「本日中に登録しないと利用停止になります」など、期限を設けて焦らせる内容です。
2. メール内のリンクから個人情報を入力させる
氏名、住所、生年月日、マイナンバー、銀行口座情報などを一度に入力させようとするケースには注意が必要です。
3. 暗証番号やパスワードを要求する
行政機関がマイナンバーに関する手続きに便乗して、銀行口座の暗証番号やキャッシュカードの情報を聞き出すことはありません。
4. お金やキャッシュカードを要求する
「情報漏えいの補償金が必要」「セキュリティ対策費用を支払ってください」などの要求は、詐欺を疑うべきです。
5. ATMの操作を指示する
マイナンバーの登録や給付金の受け取りを理由に、ATMで操作を求める連絡には応じてはいけません。
デジタル庁のFAQでは、行政機関などがマイナンバー関連の手続きで、口座番号や暗証番号、所得・資産情報、家族構成などを聞いたり、現金やキャッシュカードを要求したりすることはないと説明しています。
怪しいメールが届いた場合の対応不審なメールを受信した場合は、次の対応を徹底してください。
- メール内のURLを開かない。
- 添付ファイルをダウンロードしない。
- 返信して個人情報を伝えない。
- メールに記載された電話番号に連絡しない。
- 本当に行政機関からの連絡なのか、公式の窓口を自分で調べて確認する。
すでにリンクを開いて情報を入力してしまった場合は、入力した内容によって対応が異なります。
銀行口座の情報や暗証番号を入力した場合は、直ちに金融機関に連絡してください。パスワードを入力した場合は、正規のサイトやアプリから変更し、同じパスワードを使用しているサービスも確認します。
マイナンバーや本人確認書類の画像を送信してしまった場合は、自治体や関係機関に相談し、悪用のおそれがあるか確認してください。
【流出したらどうする？】マイナンバー漏えい時の対処法と変更手続き
実際にマイナンバーが漏えいした可能性があると分かったとき、最初にすべきことは、何がどこまで流出したのかを確認することです。
番号だけなのか、本人確認書類や住所、銀行情報まで含まれているのかによって、必要な対応が変わります。
STEP1：漏えいした情報の範囲を確認する情報を漏えいさせた企業や行政機関から通知を受けた場合は、次の点を確認してください。
- 漏えいした情報の種類
- マイナンバーそのものが含まれていたか
- 本人確認書類の画像も含まれていたか
- 漏えいした人数と対象期間
- 暗号化などの保護措置が施されていたか
- 第三者による不正利用や二次被害が確認されているか
- 今後の問い合わせ先と対応方針
特に重要なのは、単に「個人情報が漏れた」という説明だけで終わらせないことです。
マイナンバーが含まれていたのか、顔写真付きの身分証明書も含まれていたのかを確認しましょう。
STEP2：マイナンバーカードを紛失した場合は一時停止するカードそのものを紛失したり、盗難に遭ったりした場合は、第三者による不正利用を防ぐため、カード機能を一時停止してください。
マイナンバー総合フリーダイヤル0120-95-0178
音声ガイダンスで「2番」を選択。カードの一時利用停止を依頼できます。
カードを屋外で紛失した場合や盗難に遭った場合は、警察にも遺失届・盗難届を提出し、受理番号を控えておきましょう。
再交付を希望する場合は、住民登録のある市区町村窓口で手続きします。
デジタル庁・マイナンバーカード総合サイトの案内に基づく。
マイナンバーは原則として生涯同じ番号を使用する制度です。
そのため、流出したという理由だけで自動的に新しい番号が発行されるわけではありません。
ただし、個人番号が漏えいし、不正に用いられるおそれがあると認められる場合には、本人の申請または市区町村長の職権によって変更できる制度があります。
デジタル庁のFAQでも、この条件に該当する場合に限って変更できると説明されています。
| 状況 | 変更の考え方 |
|---|---|
| 番号を知られたが、不正利用のおそれが認められない | 原則として変更できない |
| 第三者に漏えいし、不正利用される具体的なおそれがある | 自治体に変更を申請できる |
| カードを紛失した | まずカードの一時停止・廃止・再交付を行う |
| 番号と本人確認書類が一緒に流出した | 速やかに自治体へ相談し、変更の必要性を確認する |
申請に必要な書類や判断の進め方は自治体によって案内が異なるため、住民票のある市区町村の窓口に確認してください。
STEP4：銀行口座や本人確認情報も漏れた場合は別途対策するマイナンバーだけでなく、銀行口座情報、キャッシュカード、ネットバンキングの認証情報なども漏えいした場合は、金融機関に連絡することが先決です。
必要に応じて、次の対策を取ります。
- インターネットバンキングのパスワード変更
- 不審な入出金履歴の確認
- 金融機関への口座利用状況の相談
- クレジットカード会社への連絡
- 不正契約や本人確認書類の悪用が疑われる場合の警察への相談
また、詐欺被害に遭った場合や不審な請求を受けた場合は、消費者ホットライン188や警察相談窓口なども相談先になります。
STEP5：公的機関への報告・本人通知を確認する特定個人情報の漏えいについては、マイナンバー法第29条の4に基づく報告制度があります。
個人情報保護委員会の規則では、主に次のような事態が報告対象です。
- 情報提供ネットワークシステムなどで管理される特定個人情報の漏えい等
- 不正な目的による漏えい、利用、提供のおそれ
- 電磁的方法によって不特定多数が閲覧できる状態になった場合
- 対象となる本人の数が100人を超える場合
ただし、一定の高度な暗号化などの保護措置が施された情報には例外があります。
報告対象事態に該当する場合、原則として情報を取り扱う事業者や行政機関等が個人情報保護委員会へ報告し、本人への通知も行います。
つまり、一般の利用者が自分で企業に代わって漏えい等報告を行う制度ではありません。
本人としては、対象者への通知が行われているか、必要な再発防止策や被害防止措置が説明されているかを確認することが大切です。
マイナンバー法の漏えい時の罰則は？マイナンバー法には、特定個人情報の不正な提供や個人番号の不正利用などに対する罰則があります。
例えば、業務で個人番号を取り扱う者などが、正当な理由なく特定個人情報ファイルを提供した場合、同法第48条により、4年以下の拘禁刑もしくは200万円以下の罰金、またはその両方が科される可能性があります。
また、業務上知った個人番号を不正な利益を得る目的で提供したり、盗用したりした場合は、第49条により、3年以下の拘禁刑もしくは150万円以下の罰金、またはその両方が規定されています。法人に対する罰金規定もあります。
一方で、サイバー攻撃や操作ミスなど、過失によって情報が漏えいした場合に、直ちに刑事罰が科されるわけではありません。
デジタル庁のFAQでは、過失による漏えいについて、個人情報保護委員会による指導・助言、勧告・命令などがあり、命令違反の場合には罰則の対象となる可能性があると説明しています。
また、過失によって被害が発生した場合には、民事上の損害賠償請求が問題になることもあります。
【マイナンバー流出のプロの結論】本当に警戒すべきリスクと失敗しない判断基準
マイナンバー流出のニュースを見たとき、必要以上に恐れる必要はありません。しかし、「番号だけなら絶対に安全」と考えてしまうのも適切ではありません。
重要なのは、漏えいした情報の組み合わせと、その後に起こり得る被害を分けて考えることです。
判断基準は「番号単体」ではなく「情報の組み合わせ」実際のリスクを判断する際には、次の3つの段階で考えると分かりやすくなります。
リスク1：マイナンバーだけが知られた
直ちに銀行口座や行政情報が悪用される可能性は低く、番号だけで手続きを完了することもできません。まずは漏えい元の通知内容を確認し、不審な連絡に注意します。
リスク2：氏名・住所・生年月日なども漏れた
本人を特定した詐欺や、追加情報を聞き出すための連絡に注意が必要です。知らない相手からの本人確認依頼や金融機関を装った連絡には応じないでください。
リスク3：顔写真付き身分証明書や金融情報も漏れた
本人確認を悪用した不正申請や、金融関連の詐欺に警戒する必要があります。関係機関への連絡、パスワード変更、カード停止など、情報の種類に応じた対策を優先してください。
今後のマイナンバー制度で問われること2026年の事案を振り返ると、情報漏えい対策には3つの課題が浮かび上がります。
- 行政・企業の管理体制： 誤送信や転記ミスを防ぐ複数人確認、アクセス権限の管理が必要。
- 委託先の監督： 再委託先を含め、データの保管・消去・廃棄まで管理する必要がある。
- 本人への説明： 漏えいした情報の種類、二次被害の有無、今後の対処方法を分かりやすく伝えることが欠かせない。
個人情報保護委員会の年次報告における392件という数字は、報告処理件数が減少したことを示しています。しかし、2026年10月のJAEA事案のように、個人番号を含む情報が実際に外部へ漏れるケースは残っています。
安全な制度設計と、現場の運用管理は別々に評価する必要があります。 情報連携の仕組みが安全に設計されていても、ファイルの誤送信や外部記録媒体の管理不備があれば、個人情報は漏れてしまいます。
【マイナンバー流出に関するよくある質問（FAQ）】
Q1：マイナンバーが流出したら、すぐに番号を変更する必要がありますか？
A1：必ずしも必要ではありません。マイナンバーは原則として生涯同じ番号を使います。ただし、漏えいによって不正利用されるおそれがあると認められる場合は、本人の申請などによって変更できるため、市区町村窓口に相談してください。
Q2：マイナンバーだけで銀行口座からお金を引き出されますか？
A2：マイナンバーだけで銀行口座から預金を引き出すことはできません。口座の暗証番号やネットバンキングの認証情報などは別に管理されており、番号だけで自由に操作できる仕組みではありません。ただし、銀行情報や本人確認書類も漏れている場合は、金融機関への相談が必要です。
Q3：マイナンバーカードをなくしたら、何をすればよいですか？
A3：まずマイナンバー総合フリーダイヤル（0120-95-0178）の音声ガイダンス2番に連絡し、カードの一時利用停止を依頼してください。受付は24時間365日です。その後、警察への届出と市区町村窓口での再交付手続きを進めます。
Q4：マイナンバーが流出すると、年収や病歴も知られてしまいますか？
A4：番号だけから年収や病歴を自由に取得することはできません。個人情報は各行政機関などで分散管理され、情報連携には専用の符号が利用されています。また、マイナンバーカードのICチップにも病歴や税・年金情報は記録されていません。
Q5：2026年にマイナンバーそのものが流出した事例はありますか？
A5：あります。2026年10月に公表された日本原子力研究開発機構の研究支援サイトへの不正アクセスでは、10月30日の更新時点で7人分のマイナンバーを含むファイルが外部に漏えいしたと発表されています。
マイナンバー流出で最も気になる銀行口座や個人情報の悪用については、12桁の番号だけで預金を引き出したり、行政情報を自由に取得したりすることはできません。分散管理や専用符号による情報連携、本人確認などの安全対策が設けられています。
一方、2026年の農林水産省、消費者庁、日本原子力研究開発機構などの公表事案を見ると、マイナンバーを含む情報の誤送信や不正アクセスは現実に起きています。番号だけでなく、本人確認書類や住所、給与情報などが一緒に流出した場合には、二次被害への警戒が必要です。
もし自分のマイナンバーが漏れたと分かったら、最初に漏えいした情報の範囲を確認し、カードの紛失なら一時停止、金融情報の流出なら金融機関への連絡、不正利用のおそれがあるなら自治体への番号変更相談を進めてください。
大切なのは、流出のニュースだけで過度に不安になることでも、番号だけなら問題ないと放置することでもありません。公的機関の発表と本人への通知を確認し、実際のリスクに応じた対策を取ることが、自分の個人情報と財産を守る最も確実な方法です。
主な参考資料：個人情報保護委員会「令和7年度個人情報保護委員会年次報告」「令和6年度個人情報保護委員会年次報告」、デジタル庁「マイナンバー制度とは」「マイナンバー制度に関するFAQ」、農林水産省・消費者庁・徳島県・日本原子力研究開発機構の2026年公表資料、株式会社エムケイシステムの2023年調査報告。
