DMM・PayPay流出疑惑｜連絡が来る人と来ない人の違い
「DMMに墓まで持って行きたい情報があるんですけど」
そんな悲鳴まじりの声が、いまネットにずらりと並んでいます。
きっかけは、海外のハッカー集団の主張でした。
PingCAP（ピンキャップ）という会社から10.6TBという大量のデータを盗んだと言い、その中にDMMやPayPay、LINEといった名前があるという話が広まったんです。
一方のPingCAPは2026年10月21日、社内のシステムに入り込まれて個人情報が漏れたことを認めました。
DMMがヤバいらしいから二段階認証したけど、昨今の情報漏洩でだいじょばない気がする…刀剣乱舞のアカウントは消さないで…😭
— なにわの審神者はにわ (@saniwahaniwa) 2026年10月21日
DMMで何を買ったか、PayPayで何に払ったか。
もし本当に漏れているなら、まず知りたいのは自分のところに連絡が来るのかどうかですよね。
今回は、PingCAPの発表と国の決まりから、連絡が来る人と来ない人の違いをわかりやすく解説していきたいと思います。
漏れたと認めたのは取引先の名簿
PingCAPは、データベースという、アプリの裏側で会員の情報や注文の記録をしまっておく仕組みを作っている会社。
日本法人が出したお詫びによると、9月9日から10月7日（アメリカの時間）にかけて、何者かが不正に手に入れたアカウントの認証情報（ログインのための鍵）を使って社内のシステムに入り込み、データを写し取っていたそうです。
日本国内で漏れた個人情報は、最大でおよそ5万件とのこと。
発表に並んでいる漏れた中身は、次のようなものでした。
- TiDB Cloud（PingCAPが預かって動かすデータベース）のアカウント情報
- お客様の連絡先（氏名、メールアドレス、企業名、電話番号）
- 契約条件（注文内容、支払い条件、請求設定）
- APIキーの片側（Public Key部分）
ここで言う「お客様」は、PingCAPのサービスを使っている会社と、その担当者を指しています。
つまり5万件の中心は、DMMやPayPayの利用者ではなく、PingCAPと取引のある会社の側の情報です。
目を向けたいのは、「お客様の連絡先」と「契約条件」の2つ。
取引先の会社名そのものが漏れた中身に入っているので、PingCAPと付き合いのある会社の名前が出回っても、おかしくはありません。
DMMやPayPayの名前を見て、利用者の情報まで抜かれたと受け取った声も、ネットにはいくつも並んでいました。
けれど名前があるというだけなら、その会社がPingCAPの客だった、というところまでしか言えないんです。
しかも、10.6TBという量も、日本の有名企業の名前の一覧も、あくまでハッカー側が出してきた話。
本物かどうかを確かめたという報道は、まだ出ていません。
TiDB Cloudは、各社がデータをしまっておくためにPingCAPから借りている、いわば棚のようなもの。
発表には、その棚についての一行もありました。
「弊社、外部調査機関ともにTiDB Cloudを調査した結果、TiDB Cloud への不正アクセス、クレジットカード情報の流出は確認されておりません。」
各社の棚そのものに入られた形跡は、いまのところ見つかっていないそうです。
「DMMもPayPayも漏れた」は本当？――PingCAP事件を、ITが苦手な人向けに整理します
Xのトレンドに「PingCAP」「TiDB Cloud」「日本企業多数影響か」と出て、DMM・PayPay・メルカリ・SBI・LINE……と企業名が並んだ画像を見た人、多いと思います。
結論から。…
— taichi endoh (@endoh_taichi) 2026年10月21日
ただ、「確認されておりません」は「何もなかった」と同じ意味ではないんですよね。
調査はまだ続いていて、新しい事実が分かりしだい順次知らせる、とPingCAPは書いています。
では、もしこの先、DMMやPayPayの利用者の情報まで漏れていたと分かったら、それは誰が教えてくれるのでしょうか。
連絡はDMMやPayPayの名前で届く
個人情報が漏れたときに、国へ報告して本人に知らせる決まりは、個人情報保護法の第26条にあります。
では、よその会社のデータを預かる側で漏れた場合、その役は誰が担うのか。
預かる形には大きく2つあって、どちらでも、利用者に知らせる役は登録先の会社に回ってきます。
1つ目は、クラウド（ネット越しに借りて使うサーバーやデータベース）を貸すだけで、中身には手を触れない約束になっている形。
個人情報保護委員会は、よくある質問への回答でこう答えていました。
「クラウドサービス提供事業者が、個人データを取り扱わないこととなっている場合において、報告対象となる個人データの漏えい等が発生したときには、クラウドサービスを利用する事業者が報告義務を負います。」
この形なら、国に報告して本人に知らせるのは、借りて使っているDMMやPayPayの側です。
そのときPingCAPには、借りている会社へ知らせるなどの「適切な対応」が求められる、と同じ回答に書かれています。
2つ目は、データを扱う仕事そのものを任されている形。
この場合も、PingCAPがDMMに知らせれば、利用者に知らせるのはDMMの側になると、委員会のガイドラインに書かれています。
PingCAPとDMMの約束がどちらの形なのかは、外からは分かりません。
それでも、どちらの形でも、連絡が来るなら自分が登録したDMMやPayPayの名前で届きます。
DMMの利用者からすれば、会員登録をしたのはDMMで、PingCAPという名前は今回はじめて聞いた人がほとんどでしょう。
9月の終わりに続いた漏えいでも、予約システムの運営会社から漏れたレゴランド・ジャパンの件は、レゴランド・ジャパンの名前で発表されていました。
その知らせは、メールで1人ずつ届くとはかぎりません。
第26条2項には、本人に知らせるのが難しい場合は、それに代わる手当てをとれば足りるというただし書きがあり、会社のサイトでの公表がその代わりになることもあります。
PingCAPのお詫びは、同じ内容がXにも出ていました。
【不正アクセスによる情報漏洩に関するお詫びとご報告】
PingCAPにおいて第三者による不正アクセスが確認されたため、現在調査および必要な対応を進めております。
関係者の皆様には多大なご迷惑とご心配をおかけし、深くお詫び申し上げます。
弊社、外部調査機関ともにTiDB Cloudを調査した結果、TiDB…— PingCAP Japan (@PingCAP_Japan) 2026年10月20日
このお詫びが呼びかけているのは、アクセスの記録の確認や、APIキーの作り直しといった、TiDB Cloudを使う会社の担当者向けの対応ばかりです。
ここまでを、連絡が来る人と来ない人に分けると、こうなります。
- PingCAPと取引のある会社の担当者＝PingCAPから連絡が来る
- DMMやPayPayを使っているだけの人＝PingCAPからは来ない
- DMMやPayPayの利用者の情報まで漏れていたと分かった場合＝DMMやPayPayの名前で連絡や公表がある
いまの時点で、利用者の情報まで漏れたと確かめられたという発表は出ていません。
連絡が来ないのは無事のしるしか
何も来ないと、かえって落ち着かないものですよね。
では、DMMやPayPayからまだ何も来ていないのは、無事だというしるしなのでしょうか。
決まりのうえでは、そうとも言い切れません。
国への報告には期限があって、知ってから「概ね3～5日以内」に速報、30日以内に詳しい報告をするよう、個人情報保護委員会のガイドラインは求めています。
誰かが不正に入り込んで起きた漏えいなら、詳しい報告の期限は60日以内まで延びるとのこと。
本人への通知はというと、「当該事態の状況に応じて速やかに」。
しかもガイドラインは、その時点ではまだ知らせる必要があるとはいえない場面として、2つの例を挙げていました。
- 漏れたデータがネットの掲示板などに上げられていて、削除を求めるなどの初期対応が終わる前に知らせると、かえって被害が広がるおそれがあるとき
- 漏れたおそれはあるものの、まだほとんど何も分かっておらず、知らせても本人が身を守る手を打てず、かえって混乱が生じるおそれがあるとき
1つ目の、データがネットに上げられている形は、盗んだデータを自分たちのサイトで少しずつ出していくとハッカー側が言っている今回と重なります。
そして2つ目の、ほとんど何も分かっていない形も、名前だけが出回って中身が分からない、いまの段階に近いものです。
もちろんガイドラインは、それでも速やかに知らせるべきことに変わりはない、と念を押しています。
まだ来ない連絡は、無事のしるしにも漏れたしるしにもなりません。
10月22日の昼の時点で、名前を挙げられた会社の側からこの件について発表があったという報道は見当たりませんでした。
PayPayやメルカリなど日本の大手の名前が並んだ「10TB流出」の投稿が回っていますが、今わかっている事実は少し違います。
PingCAPというデータベース会社が、社内システムへの不正アクセスを認めました。… pic.twitter.com/4h6HiKhtaA
— おむらいす@ブランド屋経営してる人／ベンチプレス30kg (@omurice_brand) 2026年10月21日
それぞれの会社がいつこの件を知ったのかも、外からは分かりません。
「パスワード管理以外ほぼできん」は本当
連絡を待つあいだ、こちらにできることはあるのか。
ネットでは「もう個人ではパスワード管理以外ほぼできんよ」という声も出ていました。
この感覚は、国の資料ともよく合っているんです。
個人情報保護委員会は、漏れたあとに起きうる「二次被害」の例として、よくある質問への回答で3つを挙げています。
- クレジットカードの不正利用
- ポイントサービスにおけるポイントの不正利用
- 漏えいしたメールアドレス宛てに第三者が不審なメール・詐欺メールを送信すること
このうちクレジットカードについては、PingCAPが流出は確認されていないと発表ずみ。
残る2つのうち、ポイントの不正利用はログインを乗っ取られたときに起き、詐欺メールは漏れたアドレスに届くもの。
利用者の側で先回りできるのは、ログインの守りを固めることと、届いたメールを疑うことの2つです。
どこか1か所で漏れたメールアドレスとパスワードの組み合わせは、ほかのサービスでもそのまま試されます。
PayPayやDMMのパスワードをほかのサービスと使い回しているなら、今日のうちに別のものへ変えておくと安心でしょう。
Googleアカウントとか銀行、PayPayのパスワード使い回してる人、今日終わるかもわからんで(パスワード使い回すような人は2段階認証もパスキー認証もしないだろという見当)
— タフニフ (@tafunifu) 2026年10月21日
さらに、二段階認証（ログインのときに、スマホに届く番号などでもう一度本人かどうかを確かめる仕組み）を入れておけば、パスワードを知られても、それだけでは入られにくくなります。
【知らないとやばい令和のパスワードの基本まとめ】
パスワードは全部別々になんて、そんなに覚えられるか、と思った人へ。覚えなくていいっす。今の基本を5つにまとめました。
①使い回しをやめる
1か所で漏れたパスワードは、他のサービスでも試される。末尾の数字だけ変える方法も読まれやすい。…— 三日前 (@expokun) 2026年10月6日
もう1つ気をつけたいのが、連絡のふりをしたメールです。
本物の連絡がDMMやPayPayの名前で届くなら、偽物の知らせも同じ名前で届きます。
PingCAP自身も、お詫びの中で「弊社がメールでパスワードやアクセスキーをお尋ねすることはございません」と書いていました。
そもそも本物の知らせには、何が漏れたのか、原因は何か、二次被害のおそれはあるかといった中身を書くよう、ガイドラインで決められています。
だから、リンクを押させてパスワードを入れさせようとする知らせは、まず疑ってかかるのが安全です。
「あなたの情報が流出しました」というメールが来たら、中のリンクは押さずに、アプリや公式サイトを自分で開いて、お知らせの欄を確かめるのが確実ですね。
確かめる先は、ハッカーが並べた名前の一覧ではなく、自分が登録した会社のお知らせの欄。
パスワードを変えて、怪しいメールのリンクを押さずに、ときどきDMMやPayPayのお知らせをのぞいておく。
いまの時点で個人にできることは、それでほぼ全部ということですね。
この記事で参考にした情報
- PingCAP株式会社「不正アクセスによる情報漏洩に関するお詫びとご報告」（2026年10月21日）
- 個人情報保護委員会「個人情報の保護に関する法律についてのガイドライン（通則編）」3-5 個人データの漏えい等の報告等
- 個人情報保護委員会「『個人情報の保護に関する法律についてのガイドライン』に関するQ&A」Q6-22・Q6-25
