九州電力送配電社で顧客情報を保存したSSD（ソリッド ステート ドライバー）型外部記憶媒体が所在不明になるという事件がありました。同媒体には氏名、住所、電話番号、電力使用量、小売電気事業者名など、最大約1090万口に関する情報が保存されていたということです。外部記憶媒体というからには、接続・取り外しが容易で多人数で使いまわしが可能であったものと思われます。
外付け型SSDを使用したのは、スティック型記憶媒体等では記憶容量が不足であったか、またはデータの記入又は呼び出し応答速度が不十分だったためで、それほどデータが膨大だったのでしょう。
本記事は神戸大名誉教授があるニュース番組を見て、「現時点で情報の悪用は確認されていない」とされていることに違和感を持ち、独自の見解をまとめたものです（理由が懇切に説明されています）。
～～～～～～～～～～～～～～～～～～
九州電力送配電のSSD紛失は単なる個人情報漏えいに終わらない！
ヤフーニュース 2026/8/14
森井昌克 神戸大学 特命教授/名誉教授
本記事は、8月10日、NHK福岡で放送された「ロクいち！福岡」というニュース番組で放送された「追跡！バリサーチ」での特集「九電の個人情報流出、どうなった？」を受けて独自の見解を述べたものである。
なくしたこと以上に問われる「情報の価値」
九州電力送配電で、顧客情報を保存した外部記憶媒体が所在不明になった。問題は、その規模だけではない。氏名や住所、電話番号、電力使用量、小売電気事業者名など、最大約1090万口に関係する情報が保存されていた。
この問題を考える際、まず問い直したいのが「情報の価値」である。企業は個人情報を守るため、不正アクセス対策や入退室管理などを行っている。しかし、それらは「盗まれない」「なくならない」ことを前提に考えられがちだ。今回のような事故を見る限り、その前提を変える必要がある。情報は漏れることがある。盗まれることも、紛失することもある。その状態になっても被害を最小限にできる対策が必要なのである。たとえば記録媒体を暗号化しておけば、媒体そのものがなくなっても、直ちに情報漏えいにはつながらない。重要なのは媒体をなくさないことだけではなく、なくしても情報は守られるという二重、三重の備えである。
電力使用量も「価値のある個人情報」になる
今回、特に注意したいのが電力使用量である。電力使用量だけを見て、「これが犯罪に何の役に立つのか」と思う人もいるだろう。しかし、現在は大量のデータをAIなどで解析できる時代である。時間帯ごとの電力使用量を継続して分析すれば、在宅している時間、不在になりやすい時間、生活リズムなどを推測する材料になり得る。企業であれば、操業時間や休日、設備の稼働状況などを推測する手掛かりにもなり得る。
さらに怖いのは、漏れた情報が単独で使われるとは限らないことだ。過去に流出した電話番号やメールアドレス、SNSなどの公開情報と組み合わせれば、一人の人物について、より詳細な情報を作り上げることができる。それが「○○電力の関係者です」と信用させる電話詐欺や訪問詐欺に使われるかもしれない。さらに住所や生活パターンが推測されれば、闇バイトによる侵入窃盗や強盗など、現実世界の犯罪に悪用される可能性も考えなければならない。データの価値は、一つの項目だけを見て判断してはいけない。ほかのデータと組み合わせたときに何が分かるのかまで考える必要がある。
「現時点で悪用は確認されていない」のその後
情報漏えい事故の発表でよく目にする言葉がある。「現時点で情報の悪用は確認されていません」。もちろん、発表時点の状況を説明することは必要だ。しかし、問題は「現時点」という言葉である。今日悪用されていないからといって、半年後、1年後も安全だという保証はない。氏名や住所はパスワードのように変更することも難しい。漏れた情報は犯罪者の手元に保存され、別の情報が加わった時点で価値が高まる可能性もある。
したがって、「悪用されていない」と発表して終わるのではなく、その後、本当に悪用されていないかを継続して確認する仕組みが必要になる。漏えいした可能性のある情報が犯罪に使われていないかを監視し、新たな危険が判明すれば対象者へ知らせる。被害者に何を注意してほしいのかも具体的に示す。漏えい後の対応まで含めて情報管理なのである。
「再発防止に努めます」だけでは足りない
そして九州電力送配電には、もう一段踏み込んだ説明が求められる。「管理が不十分でした。今後は再発防止を徹底します」という自主宣言だけで終わらせてはいけない。なぜ暗号化されていない記録媒体に大量の情報を保存できたのか。なぜそれを扱える運用が認められていたのか。今後は同じことができない仕組みになったのか。そして、その対策が現場で本当に守られていることを誰が確認するのか。
対策を「行う」ことと、対策が「機能していることを保証する」ことは違う。
必要であれば第三者による監査や定期的な検証も取り入れ、「安全にします」ではなく、なぜ安全だと言えるのかを示すことが、1090万口もの情報を預かる事業者には求められる。情報セキュリティは、情報を漏らさないためだけのものではない。漏れる、盗まれる、なくなることまで想定し、それでも被害を拡大させず、事故後も利用者を守り続ける。今回の問題を、単なる記録媒体の紛失事故で終わらせてはならない。
