事案の概要データ
| 公表日 | 2026年11月6日（SUBARU、スバルファイナンスとも） |
|---|---|
| 不正アクセスを受けた組織 | 株式会社プレステージ・コアソリューション（PCS） |
| 件数（SUBARU） | 最大228,734件（ロードサービスなど、顧客向けコールセンター業務の一部） |
| 件数（スバルファイナンス） | 最大3,117件（「SUBARU安心ホットライン」のロードサービス受付・手配） |
| 件数の扱い | いずれもPCSグループ全体の最大約550万件の内数。加算できない |
| 上流の事案 | プレステージ・インターナショナルが2026年11月2日に公表。重複を含め最大約550万件 |
| PCS側の第2報 | 2026年11月6日。持ち出された情報にクレジットカード番号3件が含まれていたことが判明（グループ全体） |
| 同じ委託先の他社公表 | 損保ジャパン（約6.5万件）、ENEOSカーリース（最大8,500契約）、JA共済連、ジャックス、2りんかんイエローハット、チューリッヒ保険（本サイト掲載） |
図解：この事故の構造
何が起きたのか
株式会社SUBARUは2026年11月6日、顧客向けコールセンター業務の一部を委託するプレステージ・コアソリューション（PCS）の業務システムが不正アクセスを受け、SUBARUのロードサービスなどに関する個人情報最大22万8,734件が漏えいしたおそれがあると公表しました。
同じ11月6日、スバルファイナンス株式会社も、ロードサービスの受付・手配に利用するPCSの外部システムについて、「SUBARU安心ホットライン」に関する最大3,117件の流出を公表しています。
いずれも、プレステージ・インターナショナルが11月2日に公表した重複を含め最大約550万件の内数にあたります。足し算はできません。
自動車メーカーの「コールセンター」に何があるか
本サイトでは、この委託先（PCS）に関する公表を、11月だけで7社ぶん扱ってきました。損保ジャパン、ENEOS、JA共済連、ジャックス、2りんかんイエローハット、チューリッヒ保険、そして本件です。
共通しているのは、ロードサービスの受付・手配という業務です。車が動かなくなったときに電話を受け、レッカーや修理を手配する仕事です。
なぜ、これほど多くの会社が1社に任せているのか。理由は合理的です。24時間365日、全国どこでも対応する体制を、各社が自前で持つのは非効率だからです。保険会社も、自動車メーカーも、カード会社も、同じ会社に任せます。
その結果、1社に、日本中の車の利用者の情報が集まりました。
そして、集まった情報には、車両登録番号（ナンバー）、車台番号、事故・故障の受付情報が含まれます（上流の公表による）。普通の顧客名簿にはない項目です。
本サイトが繰り返しているとおり、これは詐欺の「本物らしさ」の材料になります。「○○（実際のナンバー）のお車の件で」と言われれば、人は相手を信じます。
対象となる可能性がある方への呼びかけは、同じです。保険会社・自動車メーカー・ロードサービスを名乗る電話やSMSで、暗証番号・パスワード・口座番号を伝えない。いったん切って、保険証券や会員証に書かれた番号にかけ直す。
「業界で1社に集約」という構造を、中小企業はどう読むか
本サイトは11月、同じ構造の事案を何度も記録してきました。
アララ（メール配信・最大約380社）、TKC（自治体の電子申請）、SMBCコンシューマーファイナンス（カードローンの保証・提携14行）、そしてPCS（ロードサービス）。
どれも、その業界の多くの会社が、同じ1社に任せている形です。
中小企業の経営者として、ここから読み取るべきことは2つあります。
①自社も、どこかの「共通基盤」に乗っている。 業界団体が推奨するシステム、信用金庫経由で入れた業務ソフト、商工会議所のサービス。安くて便利なものほど、多くの会社が使っています。
②だから、止まるときは自分だけではない。 同業他社も同時に止まります。これは悪いことばかりではありません。「業界全体が止まっている」状況は、顧客にも説明しやすいからです。
実務としてやることは、やはり同じです。
1. その基盤が止まった日の代替手順を、紙1枚に書く。
2. 顧客への案内文のひな形を作る。
3. 預けている情報の項目を減らす。
特に3が効きます。本件で漏れた項目のうち、自社が渡す必要のなかったものはないかを考えてみてください。車のナンバーは手配に必要ですが、過去の事故歴まで渡す必要があったかは、検討の余地があります。
なお、PCS側の第2報（11月6日）では、持ち出された情報にクレジットカード番号3件が含まれていたことが新たに判明しました。グループ全体の調査結果であり、SUBARUの顧客情報にカード番号が含まれていたと確認されたものではありません。
時系列で見る経過
- 2026年10月29日PCSが業務システムへの不正アクセスを検知
- 2026年10月30日PCSが対象システムを停止
- 2026年11月2日プレステージ・インターナショナルが、重複を含め最大約550万件の持ち出しを公表
- 2026年11月6日SUBARUが最大228,734件、スバルファイナンスが最大3,117件を公表
- 2026年11月6日PCS側の第2報で、持ち出された情報にクレジットカード番号3件が含まれていたことが判明
中小企業が学ぶべきポイント
- SUBARU 最大228,734件とスバルファイナンス 最大3,117件は、いずれも上流の最大約550万件の内数。加算できない。
- ロードサービスの受付・手配を1社に任せる形は合理的だが、1社に日本中の車の利用者の情報が集まる。
- 車両登録番号・車台番号・事故や故障の受付情報は、普通の顧客名簿にはない項目で、詐欺の材料になる。
- 保険会社・メーカー・ロードサービスを名乗る電話で暗証番号や口座番号を伝えない。証券の番号にかけ直す。
- 2026年11月は「業界で1社に集約」した基盤の事案が続いた（アララ、TKC、SMBCCF、PCS）。
- 自社もどこかの共通基盤に乗っている。安くて便利なものほど多くの会社が使っている。
- 止まるときは同業他社も同時に止まる。顧客には「業界全体が止まっている」と説明しやすい面もある。
- 委託先に渡す項目を減らす。手配に必要な情報と、過去の履歴は分けて考える。
出典・参考
- スバル、ロードサービスなど最大22万8,734件の個人情報漏洩の恐れ（セキュリティ対策Lab・2026年11月8日）
- スバルファイナンス、「SUBARU安心ホットライン」最大3,117件の情報流出（セキュリティ対策Lab・2026年11月9日）
本記事は、各組織の公表資料および報道をもとに、要点をわかりやすく整理したものです。 被害件数は「漏えいした可能性のある最大件数」として公表されている場合があり、実際に漏えいが確定した件数とは異なることがあります。 また、調査の進展により内容が変わる場合があります。正確な情報は必ず出典元の公式発表をご確認ください。