事案の概要データ
| 公表日 | 2026年11月2日 |
|---|---|
| 検知日 | 2026年10月29日 |
| 対象システム | 子会社プレステージ・コアソリューション（PCS）が取引先から受託するロードサービス等の受付・手配業務システム（PremierNet2／PN2） |
| 件数 | 重複を含め最大約550万件。重複を除いた実人数は精査中 |
| 漏えいした情報 | 氏名、住所、電話番号、メールアドレス、車両登録番号、車台番号、事故・故障の受付情報、一部の金融機関口座情報 |
| クレジットカード情報 | 公表時点で漏えいは確認されていない |
| 協力会社の情報 | 一部含まれる可能性があり調査中 |
| 封じ込めの経緯 | 10月29日に不正利用された認証情報を無効化 → その後も不正アクセスが継続 → 10月30日に対象システムを停止 |
| 業務継続 | ロードサービス等の受付・手配は代替運用で継続 |
| 委託元の公表（損保ジャパン） | 2026年11月5日。契約情報・問い合わせ履歴・ロードサービス手配履歴など約6万5,000件（11月4日にPCSから報告を受領） |
| 委託元の公表（ENEOS） | 2026年11月2日。ENEOSカーリースの契約者情報 最大8,500件の契約に係る個人情報 |
| 委託先報告の原因 | Webアプリケーションの「アクセス制御」および「認証情報の管理」に関する設定上の不備（損保ジャパンの公表による） |
| 関係機関 | 個人情報保護委員会への報告、警察への相談を進行中 |
| 業績への影響 | 精査中。修正が必要な場合は公表予定 |
| 委託元の公表（JA共済連） | 2026年11月4日。レッカー・ロードサービスの利用者の氏名・住所・電話番号等が漏えいした可能性。詳細は確認中 |
| 委託元の公表（ジャックス） | 2026年11月4日。クレジットカードの付帯サービスとして提供するロードサービスの委託業務に関わる顧客情報が漏えい。対象はCLUB AJカードなど |
| 委託元の公表（2りんかんイエローハット） | 2026年11月6日。「2りんかんロードサービス」などの委託業務で顧客の一部個人情報が漏えいした可能性。情報項目は特定・精査中 |
図解：この事故の構造
何が起きたのか
株式会社プレステージ・インターナショナルは2026年11月2日、グループの業務システムに第三者が不正アクセスし、子会社のプレステージ・コアソリューション（PCS）が取引先企業から受託しているロードサービスなどの業務に関する顧客情報が外部へ持ち出されたと公表しました。
対象は重複を含め最大約550万件。氏名・住所・電話番号・メールアドレスに加えて、車両登録番号、車台番号、事故・故障の受付情報、一部の金融機関口座情報が含まれます。クレジットカード情報の漏えいは公表時点では確認されていません。
PCSは、保険会社や自動車メーカーに代わって「車が動かなくなった」という電話を受け、レッカーや修理の手配をする会社です。つまり、複数の保険会社・自動車メーカーの顧客データが1か所に集まっている構造です。
11月5日には委託元の損害保険ジャパンが、自社の委託業務に関する分として約6万5,000件の漏えいの可能性を公表しました。11月2日にはENEOSも、ENEOSカーリースの契約者情報 最大8,500件の契約に係る個人情報が対象と公表しています。
注意点があります。この「約550万件」に、損保ジャパンの約6万5,000件やENEOSの件数を足してはいけません。 約550万件はグループ全体の数字で、各委託元が公表する件数はその内訳です。
認証情報を止めたのに、侵入が続いた
この事案で最も学ぶところが多いのは、封じ込めの経緯です。
10月29日、不正アクセスを検知。不正に利用された認証情報を無効化しました。 普通ならここで止まります。盗まれたIDとパスワードを使えなくしたのですから。
ところが、その後も不正アクセスが続いていることを確認。翌30日、対象システムそのものを停止しました。
なぜ止まらなかったのか。公表文は理由を書いていませんが、一般に次のような可能性があります。①別の認証情報も盗まれていた。②ログイン済みのセッションが生きていた。③システムの弱点そのものが残っていて、IDを使わずに入れた。④侵入口（バックドア）を仕込まれていた。
ここから引き出せる教訓は、はっきりしています。「パスワードを変えたから大丈夫」は、対応の終わりではなく途中です。
中小企業で不正アクセスが疑われたときの順番は、こうです。①その機器・システムをネットワークから切り離す（抜く）。②そのうえでパスワードを変える。③ログを保全する。④専門業者に見せる。
順番が大事です。切り離す前にパスワードだけ変えると、本件のように攻撃者が居残ります。そして「切り離す」は、LANケーブルを抜く・Wi-Fiを切る、という物理的な操作で構いません。
車の情報は、詐欺電話の「本物らしさ」になる
漏えいした項目に、車両登録番号（ナンバー）・車台番号・事故や故障の受付情報が並んでいます。これは普通の顧客名簿とは危険の質が違います。
考えてみてください。知らない相手から電話がかかってきて、こう言われたらどうでしょうか。
「先日、○○（実際のナンバー）のお車の故障でレッカーを手配した件です。レッカー費用の差額が発生しましたので、お手続きをお願いします」
自分の車のナンバーと、実際にあった故障の話をされると、人は相手を本物だと思います。 これが「ソーシャルエンジニアリング」と呼ばれる手口です。技術ではなく、人の判断の隙を突きます。
プレステージ・インターナショナルも、保険会社やロードサービス窓口を名乗る電話やSMSで暗証番号やパスワードを聞かれても答えないよう呼びかけています。
利用者側の守り方は1つに絞れます。その電話に答えず、いったん切って、自分が持っている保険証券や会員証に書かれた番号にかけ直す。 相手が本物なら、かけ直しても話は通ります。
委託先が事故を起こしたとき、委託元がやること
本件は、委託元の公表が3日から1週間遅れで順に出てきました。PCSが検知したのは10月29日、親会社の公表が11月2日、損保ジャパンの公表が11月5日です。損保ジャパンがPCSから影響範囲の報告を受けたのは11月4日でした。
この時間差は、委託する側に実務上の宿題を残します。
1. 契約書に「事故が起きたら何時間以内に、何を知らせるか」を書いていますか。 「速やかに通知する」だけでは、本件のように数日かかります。
2. 預けている項目を一覧にしていますか。 「委託先に何を渡しているか」が分からないと、報告を受けても自社の影響範囲を判断できません。
3. 自社の顧客に、自社の名前で知らせる準備がありますか。 委託先が公表しても、顧客から見れば取引相手は自社です。
4. 代替手段がありますか。 損保ジャパンは代替システムに切り替えてロードサービスの提供を続けました。委託先が止まったとき、業務が止まるのか止まらないのか。ここは事故の前に決めておく話です。
なお、損保ジャパンは2026年10月7日にも、別の委託先（スカラコミュニケーションズのFAQシステム「i-ask」）への不正アクセスで延べ約6万件の公表をしています（本サイト掲載）。同じ会社が、1か月のうちに別の委託先で2件という状況です。委託先の数が増えるほど、入口も増えます。
時系列で見る経過
- 2026年10月29日PCSが業務システム「PremierNet2」への不正アクセスを検知。不正利用された認証情報を無効化
- 2026年10月29日以降認証情報の無効化後も不正アクセスが継続していることを確認
- 2026年10月30日対象システムを停止。ロードサービス等は代替運用で継続
- 2026年11月2日プレステージ・インターナショナルが公表。重複を含め最大約550万件
- 2026年11月2日ENEOSが、ENEOSカーリース契約者 最大8,500件の契約に係る個人情報が対象と公表
- 2026年11月4日損保ジャパンがPCSから自社委託業務の影響範囲について報告を受領
- 2026年11月5日損保ジャパンが約6万5,000件の漏えいの可能性を公表
- 2026年11月4日JA共済連とジャックスが、それぞれの委託業務に関する影響を公表
- 2026年11月6日2りんかんイエローハットが、「2りんかんロードサービス」などの委託業務に関する影響を公表
中小企業が学ぶべきポイント
- 認証情報を無効化しても侵入が止まらなかった。パスワード変更は対応の途中であって、終わりではない。
- 不正アクセスが疑われたら、まずネットワークから切り離す。切り離す前にパスワードだけ変えても攻撃者は居残る。
- グループ全体の「最大約550万件」と、委託元各社が公表する件数を足してはいけない。後者は前者の内訳。
- 車のナンバーや故障の受付履歴が漏れると、詐欺電話の「本物らしさ」の材料になる。
- 身に覚えのある話をされても、いったん切って、自分が持つ証券や会員証の番号にかけ直す。
- 委託契約に「事故発生時は何時間以内に何を知らせるか」を書く。「速やかに」では数日かかる。
- 委託先に渡している項目を一覧にしておかないと、報告を受けても自社の影響範囲を判断できない。
- 委託先が止まったとき業務を続ける代替手段を、事故の前に決めておく。
出典・参考
- プレステージ・インターナショナルに不正アクセス、最大約550万件の個人情報を持ち出し（セキュリティ対策Lab・2026年11月2日）
- 損保ジャパン、自動車保険の契約情報など約6万5,000件が漏えいの可能性 委託先「PremierNet2」に不正アクセス（セキュリティ対策Lab・2026年11月5日）
- 2026年11月の不正アクセス・情報漏えい（不正アクセス・情報漏えい事案一覧）
本記事は、各組織の公表資料および報道をもとに、要点をわかりやすく整理したものです。 被害件数は「漏えいした可能性のある最大件数」として公表されている場合があり、実際に漏えいが確定した件数とは異なることがあります。 また、調査の進展により内容が変わる場合があります。正確な情報は必ず出典元の公式発表をご確認ください。