九州電力送配電に不正アクセス、電力量情報4,139件 30分ごとの使用量が対象

事案の概要データ

図解：この事故の構造

何が起きたのか

九州電力送配電株式会社は2026年11月5日、同社の一部システムに対する不正アクセスにより、使用電力量などの情報4,139件が外部に漏えいした可能性があると公表しました。

10月30日に通常と異なるシステムエラーを検知し、調査で不正アクセスの可能性が判明したため、対象システムを緊急停止しています。その後のサーバーログの調査で、漏えいの可能性があると判断しました。

対象は、使用電力量と売電電力量の月間値・30分値、需要側の供給地点特定番号、発電側の受電地点特定番号です。氏名・住所・電話番号・メールアドレス・口座情報などの契約情報は含まれていないと説明されています。

停止中のサービスは「電力量・料金照会サービス」で、復旧見込みは検討中。電力の安定供給には支障がないと明記されています。11月2日に個人情報保護委員会と監督官庁へ報告済みで、対象者には11月中旬を目途に個別通知する方針です。

「氏名が入っていない数字」も個人情報になる

漏えいしたのは、氏名も住所も含まない電力の使用量の数字です。「それなら問題ないのでは」と思うかもしれません。

ところが、30分ごとの使用量というのは、かなり雄弁なデータです。

①いつ家にいないかが分かる。 日中ずっと使用量が低い家は、留守がちです。

②生活のパターンが分かる。 起床・就寝の時間、在宅勤務かどうか、長期の旅行の時期。

③事業所なら、稼働状況が分かる。 工場の稼働時間、休日、生産を落としている時期。競合や取引先に知られたくない情報です。

九州電力送配電の公表でも、「単独で氏名や住所が含まれなくても、他の情報との照合条件によっては、利用傾向や活動時間帯の推測につながる場合がある」という整理がなされています。

ここが中小企業にとっての応用点です。「氏名が入っていないデータ」を、管理の対象外にしていませんか。

たとえば次のようなデータです。①入退室の記録（社員証のログ）②車両の運行記録（デジタコ・ドラレコのGPS）③POSの時間帯別売上 ④Webサイトのアクセスログ。

どれも氏名の列はありません。けれども、他の情報と突き合わせれば個人や事業の中身が分かります。 そして、こうしたデータは「個人情報」として扱われていないため、アクセス制限も保存期間も決められていないことが多いのです。

やることは単純です。氏名の有無ではなく、「漏れたら困るか」で管理の対象を決める。 困るなら、見られる人を絞り、保存期間を決めてください。

「照会サービスは止めたが、電気は止めない」という切り分け

本件で実務として参考になるのは、止めるものと止めないものを切り分けた点です。

停止したのは「電力量・料金照会サービス」という顧客向けのWebサービスです。電力の供給そのものは続いています。公表文でも、安定供給に支障はないと明記しています。

これは、システムが用途ごとに分かれていたからできたことです。もし照会サービスと電力の制御が同じネットワーク上にあれば、切り離す判断はもっと難しくなります。

本サイトでは2026年10月の経済産業省「デントリネット」（サイト停止、報告はメール受付に切り替え）、11月の損保ジャパン（代替システムで業務継続）など、止めても業務が続いた例を扱ってきました。共通するのは、代わりの手段があったことです。

中小企業がすぐできる備えは、これです。「このシステムが止まったら、どうやって仕事を続けるか」を、システムごとに1行で書く。

・受注システムが止まったら → 電話とFAXで受け、Excelに記録して後で入力

・会計システムが止まったら → 紙の伝票で記録し、復旧後にまとめて入力

・予約システムが止まったら → 電話で受け、紙の予約表に書く

この1行があるかないかで、「止める」判断ができるかどうかが変わります。 代替手段がなければ、止められません。止められなければ、被害は広がり続けます。

なお、九州電力送配電は2026年6月にバックアップ用外部記憶媒体の所在不明（後に最大1,354万件に修正）も公表しています（本サイト掲載）。原因・時期・対象情報が異なる別事案であり、件数を合算することはできません。

時系列で見る経過

• 2026年10月30日一部システムで通常と異なるエラーを検知。調査で不正アクセスの可能性が判明し、対象システムを緊急停止
• 2026年10月30日以降サーバーのログを調査し、電力量情報が社外に漏えいした可能性があると判断。対象システムをネットワークから切り離す
• 2026年11月2日個人情報保護委員会と監督官庁へ報告
• 2026年11月5日公表。電力量情報4,139件の漏えいの可能性。「電力量・料金照会サービス」は停止中
• 2026年11月中旬（予定）対象者へ個別に通知

中小企業が学ぶべきポイント

1. 氏名も住所も含まない「使用量の数字」でも、30分ごとのデータは生活や稼働のパターンを示す。
2. 入退室記録、車両の運行記録、時間帯別売上、アクセスログ。氏名の列がないデータは管理の対象外になりがち。
3. 管理の対象は、氏名の有無ではなく「漏れたら困るか」で決める。困るなら権限を絞り保存期間を決める。
4. 顧客向けWebサービスは止め、電力供給は続けた。用途ごとにシステムが分かれていたからできた切り分け。
5. 「このシステムが止まったら、どう仕事を続けるか」をシステムごとに1行で書く。代替手段がなければ止められない。
6. 異常なエラーを検知して即日システムを緊急停止した。検知から停止までの速さが被害を抑える。
7. 同社の2026年6月の外部記憶媒体紛失（最大1,354万件）とは別事案。件数を合算できない。
8. 4,139件は「情報の件数」であり、4,139人の個人情報が流出したと断定できる数字ではない。

出典・参考

• 九州電力送配電、不正アクセスで電力量情報4,139件が漏えいした可能性 照会サービス停止、電力供給に影響なし（セキュリティ対策Lab・2026年11月5日）