ミカサ、廃棄PCに顧客情報が残存し第三者が取得 — 最大4298人分、10年前のオンラインショップ購入者

項目	内容
発生日	2026年4月下旬（廃棄依頼時期）
公表日	2026年6月19日
対象組織・業界	株式会社ミカサ（スポーツ用品・工業用ゴム製品の製造）
事象	廃棄委託したパソコンに個人情報が残存し、第三者が取得
影響件数	最大4298人分
情報源	Security NEXT（2026年6月19日）

概要

スポーツ用品および工業用ゴム製品の製造を手がけるミカサは2026年6月19日、廃棄事業者に依頼したパソコンから一部データが削除されずに流通し、第三者が当該端末を取得していたことを公表しました。

端末を回収した後の調査で、内部に個人情報が保存されていたことが判明。対象は2013年9月から2016年3月までに同社オンラインショップで商品を購入した顧客で、最大4298人分にのぼります。

残存していた情報は、氏名、住所、電話番号、生年月日、性別、メールアドレス、ファックス番号、職業、購入品情報です。同社は個人情報保護委員会へ報告し、専門業者と連携して廃棄システムの再構築を含む再発防止策を実施するとしています。

経緯

• 2013年9月〜2016年3月: 対象となる顧客がオンラインショップで商品を購入（この期間のデータが端末に保存）
• 2026年4月下旬: 同社が廃棄事業者にパソコンの廃棄を依頼
• その後、第三者が当該端末を取得していたことが判明
• 端末を回収し調査した結果、内部に個人情報が削除されずに残存していたことが判明
• 2026年6月19日: 公表。個人情報保護委員会へ報告

原因

廃棄を委託したパソコンから、データが削除されないまま端末が流通したことが直接の原因です。削除が行われなかった工程（社内での事前消去か、委託先での消去処理か）については公表されていません。

考えられる原因（推測）: 機器廃棄の情報漏えいは、(a) 委託前に社内でデータ消去を行う手順が定められていない、(b) 手順はあるが実施記録・検証が残らない、(c) 委託先の消去完了証明（データ消去証明書）を受領・確認する運用がない、のいずれか、または複合で発生するのが典型です。本件では「回収後の調査で個人情報が保存されていたことが判明」とされており、廃棄前に端末内容を棚卸しできていなかった可能性が考えられます。

もうひとつの論点は、2016年3月までのデータが2026年の端末に残っていたという点です。約10年前のオンラインショップ購入者データが業務端末上に保持され続けていたことは、保存期間ルールの不在、あるいはルールがあっても端末ローカルの複製に適用されていなかったことを示唆します。

対策

組織が学ぶべきこと

1. 機器のライフサイクルは「廃棄まで」が資産管理の範囲

情報資産管理は導入・運用の局面に注意が向きがちですが、実際の漏えいは廃棄・返却・下取り・リースアップといった終端の工程で起きます。廃棄依頼の前に「その端末に何が入っているか」を確認する工程、消去の実施記録、委託先からの消去証明の受領——この3点が揃っていないと、端末が手を離れた瞬間に追跡不能になります。

2. 保存期間ルールは「サーバ」ではなく「端末ローカル」で破られる

本件で残存していたのは10年前の購入者データです。データベース側では適切に削除・保存期間管理がなされていても、担当者が業務のために端末にダウンロードした抽出ファイルは、その管理の外に出ます。削除ルールの適用範囲に端末ローカルの複製が含まれているかが、実効性の分かれ目です。

3. 「第三者が取得した」後の回収と範囲確定は評価すべき

本件で同社は端末を回収し、内容を調査して対象期間・対象人数（最大4298人分）・情報項目まで特定して公表しています。流出させてしまった事実は変わりませんが、何が入っていたかを説明できる状態にしてから公表した点は、対象者が自衛判断をするための情報として意味があります。回収も範囲確定もできず「不明」のまま公表される事案と比べれば、対応の質は明確に異なります。

ヤグラの視点 — 二次攻撃の連鎖を断つ：10年分の連絡先が「いま」使われるリスク

本件で流出した情報の性質を確認すると、氏名・住所・電話番号・生年月日・性別・メールアドレス・ファックス番号・職業・購入品情報という、なりすましに必要な要素がほぼ揃った組み合わせです。クレジットカード情報や認証情報は含まれていませんが、二次攻撃の材料としては十分です。

ここで重要なのは時間軸です。データは2013年〜2016年のもので、対象者の多くは10年前の購入をもう記憶していません。「ミカサのオンラインショップからのご連絡」を装ったメールや電話が届いても、身に覚えがないぶん判断材料を持てず、逆に「昔買ったかもしれない」という曖昧さが攻撃者に有利に働きます。購入品情報が含まれているため、具体的な商品名を挙げた説得力のある文面を作ることも可能です。生成AIによって、こうした個別化された文面の量産コストは大きく下がっています。

だからこの種の事案では、公表と謝罪で終わりにせず、時間差でやってくる二次波を前提に構える必要があります。組織側では、自社を騙るなりすまし連絡が観測されたときにそれを素早く把握し、注意喚起の対象と内容を確定できる体制が問われます。従業員が受け取った不審な連絡を1クリックで報告し、AIが危険度と影響範囲（同種の連絡が誰に届いているか）を数分で分析する仕組みは、この「二次波の初動」を短縮する手段のひとつです。→ PhishAI

一方で、本件の一次原因である廃棄工程の欠落は、いかなるセキュリティ製品でも防げません。端末を委託先に渡す前に中身を確認し、消去を記録するという業務プロセスの設計だけが、これを止められます。

今後の対応

同社は個人情報保護委員会への報告を済ませ、専門業者と連携して廃棄システムの再構築を含む再発防止策を進めています。対象者側では、同社を騙る不審なメール・電話・郵便への注意が必要です。流出経路が特定・回収済みであるため、さらなる拡散の続報は限定的と見られますが、なりすまし被害の報告有無を注視します。

更新履歴

日時	内容
2026-08-03	初稿公開（2026年6月19日公表時点の情報）