盗まれた個人情報は、どこへ行くのか？

「個人情報が流出しました」

最近、こうしたニュースを目にする機会が増えました。自分が利用しているサービスなら、企業からの案内を確認したり、パスワードを変更したりすると思います。

第1話では、情報漏洩に備えて、私たちが今日からできる対策を紹介しました。

その記事を書きながら、ふと気になったことがあります。

盗まれた個人情報は、その後どうなっているのだろう。

誰が持っているのか。どこで使われるのか。誰にも使われずに、どこかに残っていることもあるのでしょうか。

もちろん、漏れた情報がすべて犯罪に使われるわけではありません。それでも、情報が私たちの手を離れたあと、何が起こり得るのかは知っておきたいところです。

今回は、普段のニュースではあまり見えてこない、情報漏洩の「その先」を見ていきます。

たとえば、自転車を盗まれたとします。

運よく見つかって手元に戻ってくれば、その自転車は取り戻せますよね。ところが、情報の場合は少し事情が違います。

データはコピーできるからです。誰かに渡しても元のデータは残り、受け取った人がさらにコピーすれば、同じ情報を何人もの人が持つことになります。

企業が不正アクセスを止め、システムを修復したとしても、一度外へ出た情報のコピーをすべて回収できるとは限りません。

では、悪用される情報はどこへ行くのでしょうか。

行き先の一つが、犯罪者同士の売買や共有です。盗まれたアカウントのログイン情報や個人情報などが、別の犯罪者へ売られることがあります。

ニュースで「ダークウェブ」という言葉を聞いたことがあるかもしれません。特殊な仕組みを使ってアクセスするインターネット上の領域で、犯罪に利用されることもあります。

ここで意外なのは、情報を盗んだ人と、その情報を使う人が同じとは限らないことです。

盗んだ情報を別の人へ売る人がいて、それを手に入れて悪用する人がいる。そうした形で、情報が渡っていく場合もあります。

しかも、盗まれた情報は、一つずつ使われるだけではありません。

別々の場所から漏れた情報や、SNSに公開している情報も、共通する手掛かりを見つけて組み合わせると、どんなサービスを利用し、何に関心を持っているのかなど、一人の人物について詳しいことが分かる場合があります。

もちろん、必ず本人を特定できるわけではありません。同姓同名の人もいますし、古い情報や間違った情報もあるでしょう。

それでも、相手を信用させるための材料にはなります。

たとえば、ある日突然、利用しているサービスの担当者を名乗る人から電話がかかってきました。

その人は、あなたの名前も電話番号も知っています。利用しているサービスの名前も合っています。

そして、こう言うんです。

「お客様のアカウントに問題が見つかりました」

ここまで自分のことを知っている相手なら、本物の担当者だと思ってしまうかもしれません。

でも、その情報を別の場所から手に入れた相手にも、同じことは言えます。

相手が自分の情報を知っていることと、その相手が本物であることは、別の話です。

情報漏洩のニュースで聞く「名前やメールアドレスが流出した」という出来事が、普段の生活で受け取る電話やメールにも関わってくるわけです。

そして今、こうした情報を悪用する側の環境にも変化が起きています。

盗まれた情報が売買されることは、ここまで見てきました。

ところが、売られているのは情報だけではありません。犯罪に使えるとうたうAIの道具まで、商品として宣伝されているんです。

しかも、その売り方は普通のソフトウェアに似ています。

無料で使えるとうたうものもあれば、月額料金で利用するものもあります。セキュリティ企業Halcyonの調査では、盗まれたChatGPT Plusのアカウントが、わずか0.10ドルで出品されていた例も報告されています。

同社は、2025年10月から2026年4月にかけて、犯罪者が利用する掲示板やメッセージアプリなどを調査しました。

その結果、AIツールを宣伝する投稿は、2025年後半には月50件未満だったものが、2026年2月には月1,400件を超えていました。

もちろん、売られている道具がすべて宣伝どおりに使えるとも限りません。

それでも、犯罪に使う道具まで、普通のソフトウェアのように宣伝され、売買の対象になっている。このことには驚かされます。

では、こうしたAIの道具を使うことで、犯罪を行う側のできることは、どのように変わってきたのでしょうか。

犯罪向けのAIと聞くと、何か特別な能力を持つAIが登場したように感じるかもしれません。

しかし、私たちが普段使っているAIも、文章を書いたり、プログラムを作ったり、いろいろな仕事を手伝えるようになりました。その能力が、犯罪にも悪用されているんです。

ChatGPTなどの一般向けAIには、危険な依頼に応じないための安全対策があります。一方で、そうした制限が弱いAIや、制限を回避できるとうたうサービスを使おうとする人たちもいます。

普通の仕事に置き換えると、たとえばWebサイト作りです。以前は企画やデザイン、プログラムなど、複数の専門家に頼む必要があった仕事でも、今は一人がAIに相談しながら、ある程度まで進められるようになりました。

実は、犯罪の世界でも似た変化が起きています。

AI企業Anthropicは2025年8月、自社のAI「Claude」を利用するツール「Claude Code」が、情報の窃取や恐喝に悪用された事例を公表しました。

同社によると、従来なら複数の人が分担していたような攻撃の作業を、AIが支援していたそうです。

つまり、犯罪者が突然、特別に賢くなったわけではありません。

変わったのは、使える道具の方です。

これは、AIが犯罪のためだけに作られた特別な道具だという話ではありません。私たちの仕事を助けてくれる能力が、悪い目的にも利用されているということです。

AIによって一人で進められる作業が増え、同じような作業を大量に繰り返しやすくなることもあります。便利さが広がる一方で、その悪用についても考える必要が出てきました。

では、怪しいメールや電話が来たとき、不自然なところを探せば見破れるのでしょうか。

以前なら、変な日本語や不自然な言い回しが、怪しいメールに気づくきっかけになることもありました。

ところが今は、AIを使って自然な文章を作ることもできます。

2024年に発表されたHeidingらの研究では、AIが自動作成したフィッシングメールのリンクが、人間の専門家によって作られたメールと同じ割合でクリックされたという実験結果も報告されています。

もちろん、一つの研究結果がすべての詐欺に当てはまるわけではありません。それでも、文章のおかしさだけを頼りにするのは難しくなっていると考えられます。

ここで、先ほどの担当者を名乗る相手を思い出してみてください。

名前も知っている。利用しているサービスも合っている。しかも、話し方や文章も自然です。

これでは、本物かどうかを相手の説明だけで判断するのは難しいですよね。

そこで大切になるのが、相手の嘘を上手に見破ろうとすることよりも、自分で確かめることです。

たとえば、メールに「アカウントに問題があります」と書かれていたら、届いたリンクをそのまま開くのではなく、いつも使っている公式アプリを自分で開いて確認します。

電話なら、いったん切って、公式サイトなどで確認した連絡先へ自分から問い合わせる方法があります。

日本の警察庁も、メールやSMSのリンクを安易に開かず、ブックマークや公式アプリから正しいサイトへアクセスするよう案内しています。米国の消費者保護機関FTCも、心当たりのある企業からの連絡であっても、確かだと分かっている窓口で確認するよう勧めています。

もちろん、突然「急がないと大変なことになる」と言われたら、焦ってしまうと思います。

だからこそ、今回の話を知っておく意味があります。

相手が自分のことを詳しく知っていても、それだけで本物とは限らない。そう知っていれば、「ちょっと待って、確かめてみよう」と思えるかもしれません。

第1話で紹介したパスワードの管理や2段階認証などの対策も、こうした危険を知ることで、なぜ必要なのかが分かってきます。

具体的な設定方法や、情報が漏れた場合の対応は、第1話の記事「止まらない情報漏洩から自分を守るために、今できること」で紹介しています。

今回、盗まれた情報がどこへ行くのかを見てきました。

情報はコピーされ、別の人へ渡ることがあります。バラバラだった情報が組み合わされ、自分をよく知っている人からの連絡のように見せかける材料にもなります。

さらに今は、AIが犯罪を行う側の作業まで手伝うようになっています。

こうした話を知ると、情報漏洩のニュースと、普段の生活とのつながりが少し見えてきます。

そして、もう一つ考えたいことがあります。

犯罪を行う側には、情報や道具を売り買いし、広める仕組みがあります。

だったら、守る側の私たちも、身を守るために知ったことを共有していけばいいのではないでしょうか。

たとえば、家族や友人から「こんなメールが来たんだけど、本物かな？」と聞かれたとき。

「名前を知っているからって、本物とは限らないよ。いつもの公式アプリから確認してみよう」

そう伝えて、一緒に確かめることができます。詳しい技術を説明できなくても、その一言が役に立つことはあります。

危険を知ることで、初めて気づけることがある。

第1話では、身を守るための知識を家族や友人に伝えたいと書きました。今回、盗まれた情報の行方を調べて、その大切さを改めて感じました。

知っている人から、まだ知らない人へ。少しずつでも、こうした知識を共有していけたらと思います。

でも、ここで一つ、素朴な疑問が残ります。

私たちは、情報が漏れたあとのことを考えてきました。けれど、そもそも情報が漏れなければ、こうした心配をしなくても済むはずです。

企業はなぜ情報漏洩を防ぎきれないのでしょうか。AIが原因なのでしょうか。それとも、もっと前から続いている問題なのでしょうか。

次回は「情報漏洩は本当にAIのせいなのか？」という疑問から、その背景を考えてみたいと思います。